Octo 缺失授权导致 API 密钥信息泄露

漏洞概述 漏洞名称: Octo GET /api/providers 返回管理员配置的提供商 API 密钥给任何已认证用户 漏洞类型: 缺失授权 (Missing Authorization) 影响范围: 受影响版本: v1.0.2b6 及更早版本 受影响组件: Octo 自托管控制平面 (provider API) 漏洞描述: 任何已认证用户（无论权限或角色）可以通过调用 获取所有管理员配置的提供商 API 密钥。 影响范围 多用户实例: 所有普通用户现在可以读取中央 OpenAI、Anthropic 或兼容端点的密钥，并消耗他们的平台。 单管理员实例: 如果唯一账户是管理员，则权限边界被跨越，因为调用者已经拥有密钥。严重程度降为信息泄露。 密钥范围: 泄露的密钥与上游账户允许的范围一样危险。生产计费密钥具有高影响，一次性或已禁用密钥影响较低。 修复方案 修复状态: 协调披露进行中。尚未分配 CVE。 修复措施: 需要确保在 路由中添加适当的权限检查，以防止未授权用户访问敏感信息。 POC 代码 等效的 curl 命令： 详细攻击步骤 1. 获取普通账户令牌: 通过标准登录流程获取 JWT。 2. 调用用户路由: 发送单个 GET 请求，使用该令牌。 3. 网关通过 JWT 验证: 仅依赖于 ，验证令牌且不查找用户权限，因此请求被授权并到达处理程序主体。 4. 读取每个提供商: 执行 ，返回所有行，因为表是全局的且没有所有者列。 5. 密钥以明文序列化: 每行通过 ，设置 为 ，因此 JSON 主体包含每个提供商的密钥。 6. 负控制: 使用相同的令牌重放对 的请求。它被 拒绝，返回 FORBIDDEN 错误，这正是用户路由中缺失的检查。 验证 授权边界和原始密钥序列化: 通过读取固定发布源确认。处理程序直接返回序列化输出，没有后续掩码步骤，因此从路由到响应的代码路径是明确的。 正面结果: JWT 认证的普通用户通过 接收每个提供商行的 明文。 负控制: 相同的令牌对 被 拒绝。 诚实限制: 验证了授权差距和源级别的原始密钥序列化。没有实际 HTTP 请求在运行实例上发出，也没有读取真实密钥。本地 Octo 实例使用合成提供商密钥和非管理员账户确认响应从头到尾，代码读取已经修复了结果，因为序列化值在没有掩码分支的情况下返回。 影响和限制 多用户实例: 所有普通用户现在可以读取中央 OpenAI、Anthropic 或兼容端点的密钥，并消耗他们的平台。 单管理员实例: 如果唯一账户是管理员，则权限边界被跨越，因为调用者已经拥有密钥。严重程度降为信息泄露。 密钥范围: 泄露的密钥与上游账户允许的范围一样危险。生产计费密钥具有高影响，一次性或已禁用密钥影响较低。 修复 修复措施: 需要确保在 路由中添加适当的权限检查，以防止未授权用户访问敏感信息。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

Octo 缺失授权导致 API 密钥信息泄露

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Octo 缺失授权导致 API 密钥信息泄露

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！