Rainbond Cross-Enterprise Tenant IDOR in Region API: Unauth Read/Modify of Multi-Tenant Resources

Cross-enterprise tenant IDOR in the region API server: any valid region API token can read (and, by the same code path, modify) any other enterprise's tenant resources on a shared multi-tenant Rainbond region #2665 漏洞概述 Rainbond 的区域 API 服务器（基于 构建的 Kubernetes 集群面向 HTTP API）被明确设计为可由多个企业共享（在 模式中）。在单个区域中，每个企业拥有一个或多个“租户”（内部工作区），由人类可读的 标识。每个签发的 API 令牌也记录了其所属企业的 。然而，令牌验证函数 ( ) 仅检查令牌的有效期和广泛的“API 类”（ / / ），从不读取或比较令牌的 。此外，中间件 ( ) 解析出现在 URL 路径中的 ，通过完全全局、未加作用域的数据库查找，没有任何针对调用令牌所属企业的交叉检查。 因此，任何有效的区域 API 令牌，无论其属于哪个企业，都可以用于访问 URL 路径中任何其他企业的 ，并且请求将被视为针对该租户的授权。在由多个企业共享的区域上（完全支持此 模式的场景），这允许一个付费客户读取，并且通过相同的代码路径修改，另一个客户的应用程序服务、插件、环境变量和其他租户范围资源。 影响范围 在由多个企业共享的任何 Rainbond 区域部署上（完全支持此 / 模式的场景），有效的区域 API 令牌属于一个企业可用于访问任何其他企业的租户，只需通过替换 URL 路径中的 即可。这直接证明了服务/应用程序元数据（包括服务密钥字段）的披露。 中间件，具有相同的缺失 检查，还允许对路由表下的可写路由（创建服务、管理插件、环境变量和证书）进行未经授权的修改，同样绕过此检查扩展到对任何其他租户资源的未经授权的修改，而不仅仅是披露。 修复方案 在 函数中读取并比较令牌的 。在 中间件中，将 与令牌的 进行交叉检查，以确认调用者属于该租户。 POC 代码

目標達成すべての支援者に感謝 — 100%達成しました！

Rainbond Cross-Enterprise Tenant IDOR in Region API: Unauth Read/Modify of Multi-Tenant Resources

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Rainbond Cross-Enterprise Tenant IDOR in Region API: Unauth Read/Modify of Multi-Tenant Resources

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！