TheHive /api/status Unauthenticated Information Disclosure

以下是关于该网页截图中漏洞的简洁中文Markdown总结： --- 漏洞概述 漏洞1：GET /api/status 暴露附件保护密码（无认证） 包名：TheHive-Project/TheHive 受影响版本：确认在 commit d390a03（截至2025-05-25）和 strangebee/thehive:5.4 (5.4.11-1) CVSS向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N (5.3 Medium) CWE：CWE-200（未授权访问敏感信息） 摘要 在 TheHive 中返回运行时附件保护密码（ ），无需认证。任何网络可访问 TheHive 端口的调用者均可检索配置的 ZIP 密码，用于保护恶意附件下载。该端点还披露了配置的认证提供者、SSO 设置、MFA 能力，以及在集群部署中的成员节点地址和角色。 详情 文件： 操作使用 ScalaGraph 模式，无 , 或 调用。所有受保护端点使用这些链式变体；此处缺失意味着请求完全绕过认证。 密码值从 读取（默认：“malware”，在 中）。当操作员配置非默认密码时，该自定义密码仍通过此未认证端点返回。 路由在 注册： 无认证中间件包装此路由：无需任何会话、API 密钥或 Basic 认证头即可访问。 PoC 测试环境：strangebee/thehive:5.4 (5.4.11-1)，默认配置，无凭据。 控制请求：对受保护端点无凭据返回 401： 带无效凭据的请求到 仍返回 200（端点不检查）： 影响 1. 附件密码泄露：TheHive 是安全事件响应平台，用于处理恶意样本和敏感证据。附件为 ZIP 压缩并受配置密码保护。任何未认证调用者均可检索此密码并用其打开通过其他手段获得的附件 ZIP（如网络捕获、存储访问、错误配置的 S3 桶）。操作员若未设置非默认密码以限制意外访问，则密码立即被撤销。 2. 认证表面枚举： 数组列出所有配置的认证提供者（ , , 等）， 列表指示是否启用 API 密钥认证、MFA 或 SSO。此信息可用于针对凭据填充或特定提供者的攻击。 3. 集群拓扑泄露（多节点）：在集群 TheHive 部署中， 包含成员地址、端口、状态和角色，每个节点均包含在客户端响应中。这向未认证调用者揭示了内部网络拓扑。 修复建议 建议修复：在 操作链中添加 ，使端点需要有效会话或 API 密钥。若需保留公共状态端点用于负载均衡器健康检查，应仅返回 HTTP 200 且无敏感字段。附件密码字段绝不应包含在任何客户端响应中。 --- 漏洞2：跨组织附件泄露（缺少对象级授权） 包名：TheHive-Project/TheHive 受影响版本：4.1.24 及更早 4.x 版本（AttachmentSrv.visible 自至少该代码路径引入以来未实现 // TODO，未修复于 4.1.24 版本） CVSS向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/H:H/N/A:N CWE：CWE-639（通过用户可控键绕过授权） 摘要 TheHive 的附件下载端点（ 和 ）未执行任何组织或案例范围的授权检查。任何已认证调用者均可下载平台中任何附件的二进制内容——包括案例证据、可观察项和法医文件，完全无关的组织/租户——仅通过知道或猜测附件的内容哈希标识符，该标识符通常在正常可观察 API 响应中暴露给文件的合法所有者。 详情 （ ）定义为字面量通过遍历未加注释的 // TODO 注释： 其他核心资源类型（Case, Task, Observable, Alert, Log, Audit）实现 作为图遍历过滤器，限制结果仅包含从调用者当前组织可达的实体。 从未接收此过滤器。 和 （ ）仅依赖此 调用作为其唯一对象级访问检查： 仅验证请求携带有效已认证会话（ScalaGraph/core/src/main/scala/org/thp/scalagraph/controllers/EntryPoint.scala:145-148）。它不执行权限或所有权检查，不像代码库中自己的 辅助函数用于权限门控操作。由于 是 no-op，组合效果是任何已认证用户，无论组织，均可获取任何附件。 路由注册无 作用域在路径中（ ）： 无 v1 等效项（ 注释掉 ），因此 v0 路由是完整且唯一的攻击面。 附件 ID 是上传时分配的 SHA 基于内容哈希（ ， ），非 per-organisation 随机标识符。它们直接在正常、合法 API 响应中返回（案例可观察创建和列出、案例导出、连接器同步有效负载）给组织成员，使其成为常规可获得值而非理论秘密。 PoC 使用两个独立创建的组织（通过 admin 和 API，基于密码登录）： 影响 TheHive 4 实例的任何已认证用户——无论其属于哪个组织或担任何种角色/配置文件——均可读取平台上存储的任何附件的完整二进制内容，包括机密案例证据、恶意样本、屏幕截图和法医工件，这些工件与他们无关系且对其任何端点无可见性，通过正常可观察 API 响应。在 multi-tenant TheHive 部署（平台核心用例为 MSSP/shared SOC 实例）中，这是对所有存储案例数据的完全跨租户机密性违反。 --- ✅ 以上为完整提取的关键漏洞信息，含 PoC 代码块，已按要求的简洁中文 Markdown 格式输出。

目標達成すべての支援者に感謝 — 100%達成しました！

TheHive /api/status Unauthenticated Information Disclosure

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

TheHive /api/status Unauthenticated Information Disclosure

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！