یک آسیب‌پذیری بحرانی با شناسه CVE-2024-45387 و شدت ۹.۹.در Apache Traffic Control شناسایی شده است، که به مهاجم اجازه می‌دهد از طریق حمله SQL Injection به پایگاه داده دسترسی غیرمجاز داشته باشد. مهاجم از طریق ارسال یک درخواست PUT، با دسترسی مدیریتی از نقش‌های خاصی مانند "admin"، "federation"، "operations"، "portal"، یا "steering" در Traffic Ops، قادر به اجرای دستورات SQL دلخواه بر پایگاه داده است. این امر منجر به دسترسی غیر مجاز داده‌های حساس و تغییر اطلاعات در پایگاه داده می‌شود. این نقص امنیتی در شرایطی که تایید هویت دو مرحله‌ای فعال باشد، ایجاد می‌شود. deliveryservice_request_comments در واقع یک endpoint یا مسیر (API) است که این امکان را برای کاربران فراهم می‌کند تا نظرات یا توضیحات را در ارتباط با درخواست‌های مربوط به خدمات تحویل محتوا ثبت کنند. آسیب‌پذیری SQL Injection در endpoint نسخه‌های "Traffic Ops" را تحت تاثیر قرار می‌دهد که مهاجم در نهایت می‌تواند با اجرای دستورات خود داده‌های حساس را افشا کند یا حتی آن را از پایگاه داده حذف کند.
بر اساس بردار حمله این آسیب‌پذیری CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H بهره‌برداری از آن از طریق شبکه خارجی و از راه دور امکان‌پذیر است (AV:N)، به‌راحتی قابل تکرار است و چندان به شرایط خاصی نیاز ندارد (AC:L)، مهاجم برای انجام حمله نیاز به حساب کاربری با سطح دسترسی پایین می‌باشد (PR:L) و به تعامل با کاربر نیاز ندارد (UI:N)، بهره‌برداری از آسیب‌پذیری مذکور بر سایر منابع امنیتی تأثیر می‌گذارد (S:C)، هر سه ضلع امنیت با شدت بالا تحت تأثیر قرار می‌گیرند (C:H و I:H و A:H).
نسخه‌های تحت تاثیر
این آسیب‌پذیری نسخه 8.0.0 تا نسخه 8.0.1 Apache Traffic Control را تحت تاثیر قرار می‌دهد.
توصیه‌های امنیتی
به کاربران توصیه می‌شود که در اسرع وقت نسخه‌های آسیب‌پذیر را به نسخه 8.0.2 و بالاتر ارتقاء دهند، و دسترسی به Traffic Ops را محدود کنید، که تنها کاربران معتبر از آن استفاده کنند.
منابع خبر:
[1]https://nvd.nist.gov/vuln/detail/CVE-2024-45387
[2]https://trafficcontrol.apache.org/
[3]https://www.cve.org/CVERecord?id=CVE-2024-45387
- 44