TheHive /api/status Unauthenticated Information Disclosure & CVE Analysis

漏洞概述 漏洞1：GET /api/status 暴露了未认证的附件保护密码 包：TheHive-Project/TheHive 受影响版本：确认在 commit d390a03 (HEAD as of 2026-05-25) 和 strangebee/thehive:5.4 (5.4.11-1) CVSS 向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N (5.3 Medium) CWE：CWE-200 (Exposure of Sensitive Information to an Unauthorized Actor) 摘要： TheHive 的 端点以明文形式返回运行时附件保护密码（ ），无需认证。任何具有网络访问权限的人都可以检索配置的 ZIP 密码，用于保护恶意附件下载。该端点还披露了配置的认证提供者、SSO 设置、MFA 能力，以及在集群部署中的成员节点地址和角色。 详细信息： 文件： 操作使用 端点 模式，没有 、 或 调用。所有受保护的端点在代码库中使用这些链式变体之一；此处缺失意味着请求完全绕过认证。 密码值从 读取（默认为 "malware" 在 中）。当操作员配置非默认密码（如建议的用于处理敏感附件的环境）时，该自定义密码将返回给未认证的用户。 路由在 中注册。 没有认证中间件；该路由在 Akka 集群中的任何客户端响应中均可访问，无需会话、API 密钥或基本身份验证。 PoC： 影响： 1. 附件密码泄露：TheHive 是一个安全事件响应平台，用于处理恶意样本和敏感数据。附件是压缩的，使用配置的密码。任何未认证的用户都可以检索此密码并使用它打开通过其他方式获得的附件 ZIP（例如，网络捕获、存储访问、配置错误的 S3 存储桶）。操作员如果设置了非默认密码以限制对存档的意外访问，将立即撤销该保护。 2. 认证表面枚举： 数组列出了所有配置的认证提供者（ 、 、 等）， 列表指示是否启用了 API 密钥认证、MFA 或 SSO。此信息可用于针对凭据填充或特定提供商的攻击。 3. 集群拓扑泄露（多节点）：在集群 TheHive 部署中， 包括成员地址、端口、状态和角色。这揭示了内部网络拓扑给未认证调用者。 建议修复： 向 操作链添加 ，以便端点需要有效的会话或 API 密钥。如果减少公共状态端点用于负载均衡器健康检查，它应仅返回 HTTP 200，无敏感字段。附件密码字段应永远不包含在任何客户端响应中。 --- 漏洞2：跨组织附件泄露通过未授权数据端点（缺少对象级授权） 包：TheHive-Project/TheHive 受影响版本：4.1.24 及更早的 4.x 版本（AttachmentSrv.visible 是一个未实现的 // TODO，至少自 4.1.24 版本以来未修复） CVSS 向量：CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N CWE：CWE-639 (Authorization Bypass Through User-Controlled Key) 摘要： TheHive 4 的附件下载端点（ 和 ）未执行组织或案例范围的授权检查。任何已认证的用户都可以下载平台中任何附件的二进制内容——包括案件证据、可观察项和法医文件，属于完全无关的组织/租户——只需通过知道或猜测附件的内容哈希标识符，该标识符通常在正常案例可观察 API 响应中暴露给文件的合法所有者。 详细信息： （ ）定义为通过遍历的未处理 // TODO 注释： 其他核心资源类型在 TheHive（Case、Task、Observable、Alert、Log、Audit）中实现 作为图遍历过滤器，限制结果到可从调用者当前组织到达的实体。 从未收到此过滤器。 和 （ ）仅依赖此 调用作为其唯一对象级访问检查： 端点（...） 仅验证请求携带有效的已认证会话（ ）。它不执行权限或所有权检查，不像代码库的 助手用于权限门控操作。由于 是无效的，组合效果是任何已认证用户，无论组织，都可以获取任何附件。 路由注册时没有案例/组织范围的路径（ ）： 没有 v1 等效项（ 注释掉了 ），因此这些 v0 路由是此资源类的完整且唯一的攻击面。 附件 ID 是上传时分配的基于 SHA 的内容哈希（ 、 ），不是跨组织随机标识符。它们在正常、合法的 API 响应中直接返回（案例/可观察创建和列表、案例导出、连接器同步有效负载）给组织的所有者，使它们成为常规可获取值，而不是理论秘密。 PoC： 影响： 任何 TheHive 4 实例的已认证用户——无论他们属于哪个组织或角色/配置文件——都可以读取平台存储的任何附件的完整二进制内容，包括机密案例证据、恶意样本、屏幕截图和法医工件，属于他们没有关系且无可见性的组织，在任何租户上。在多线程 TheHive 部署（平台的核心用例用于 MSSP/共享 SOC 实例）中，这是所有存储案例数据的完全跨组织机密性泄露。

目標達成すべての支援者に感謝 — 100%達成しました！

TheHive /api/status Unauthenticated Information Disclosure & CVE Analysis

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

TheHive /api/status Unauthenticated Information Disclosure & CVE Analysis

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！