microsoft/UFO: Missing Authorization Check in DEVICE_INFO_REQUEST Causes Cross-Device Information Disclosure

脆弱性概要 中缺少授权检查，使得 客户端能够读取其他设备的 。 描述 连接到 UFO WebSocket 服务器的 客户端可以调用 ，获取其指定名称的任意服务端 。该操作旨在为 constellations/orchestrator 客户端提供信息——代码注释和文档中确实如此说明——但并未检查调用者的角色。唯一被检查的是 。不存在欺骗、竞争条件或猜测的情况，响应会直接返回到调用者自身的通道。 实际受损部分 由于周围的机制看似应当阻止此情况，因此值得精确说明哪些控制措施存在而哪些缺失。 身份验证是存在的。 会检查 和 是否与连接注册时的一致，并拒绝任何不匹配的消息。攻击者无法通过这种平凡原因失败，因为它实际上是一个 ，其消息中声明的类型也是 。不存在欺骗。 路由是正确的。 通过 发送响应，该协议绑定到发起请求的连接者的自身通道，正如文档所承诺的那样。因此，这并非响应泄漏至错误通道的情形——数据确实送达了其被请求的目标。 授权是缺失的部分，从未被检查。一旦调度程序知晓（正确的）调用者角色，它也不会追问该角色是否被允许执行此操作或读取该目标。 位于终点，它返回服务器所持有的该 ID 的信息。 因此，设备通过了两个从未构建的检查关卡：它执行了一个专为 constellations 保留的操作（无功能级检查），并获取了其自选的设备 ID（无对象级检查）。身份验证回答了“你是谁”，但无人追问“你被允许这样做吗”。 影响 跨设备数据泄露，仅限读取。被入侵或恶意的设备可以拉取另一台设备的已存储 ：主机名、内部 IP、平台及操作系统版本、CPU 和内存，以及任何元数据标签和运维人员附加的部署层级标签，如 或 等。这是在决定哪台主机适合下一个任务前所需的信息清单。 无写入、无命令执行、可用性未受影响，除非运维人员将其存储在设备元数据中，否则不会造成严重伤害。当多个设备共享一个服务器——UFO 是为（预）设备配置和 constellations（ 路由）构建的——在严格的单设备服务器上，没有对等体可读，但缺失的检查仍然存在。 一个我不会粉饰的前置条件：攻击者需要知晓受害者的 。由于网络上没有公开的客户端列表，因此这不是一个自包含的舰队扫描。实际上，设备 ID 是由运维人员分配的，并倾向于出现在日志和早期重构中，这就是为何我仍对 AC 给出低分——但我并未声称可以进行枚举。 受影响 microsoft/UFO, main at adcf1308789d815356977ed742956dc2aa44509 ufo/server/ws/handler.py - handle_message, handle_device_info_request, get_device_info ufo/server/services/client_connection_manager.py - get_device_system_info 复现 无需 telnet、模拟器、ADB 或外部服务。PoC 在进程内驱动真实的 、 和 ，仅存根网络传输，因此它可以读取帧并返回响应。 设备上下文的 PoC 构建的是真实连接状态，而非捷径。若无身份绑定， 会果断拒绝 。已注册的连接——身份绑定，角色为 ——正是测试的对象。 PoC 代码 预期行为 询问另一台设备信息的设备应收到错误且无数据。只有已注册的 constellations/orchestrator 才能访问 ，且仅用于其管理的设备。 修复建议 在开始任何处理之前，读取连接所绑定的角色。 这弥补了功能级别的漏洞。建议在顶部进行两项工作：将 constellations 的范围限制在其实际管理的设备，而非任意 ；并在 中对其他特权消息类型（而不仅是 ）执行相同的注册角色检查。 测试建议

目標達成すべての支援者に感謝 — 100%達成しました！

microsoft/UFO: Missing Authorization Check in DEVICE_INFO_REQUEST Causes Cross-Device Information Disclosure

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

microsoft/UFO: Missing Authorization Check in DEVICE_INFO_REQUEST Causes Cross-Device Information Disclosure

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！