CVE-2023-49805

Uptime Kuma è uno strumento di monitoraggio self-hosted facile da usare. Prima della versione 1.23.9, l'applicazione utilizzava WebSocket (con Socket.io), ma non verificava che la fonte della comunicazione fosse valida. Ciò consente a siti di terze parti di accedere all'applicazione per conto dei loro clienti. Quando ci si connette al server utilizzando Socket.IO, il server non valida l'intestazione `Origin`, permettendo ad altri siti di aprire connessioni al server e comunicare con esso. Altri siti web devono comunque autenticarsi per accedere alla maggior parte delle funzionalità; tuttavia, questa vulnerabilità può essere sfruttata per aggirare le protezioni del firewall implementate da chi distribuisce l'applicazione.

Senza la validazione dell'origine, il JavaScript eseguito da un'altra origine potrebbe connettersi all'applicazione senza alcuna interazione da parte dell'utente. Senza credenziali di accesso, una tale connessione non può accedere agli endpoint protetti contenenti dati sensibili dell'applicazione. Tuttavia, una connessione di questo tipo potrebbe consentire a un attaccante di sfruttare ulteriori vulnerabilità non rilevate dell'applicazione. Gli utenti con modalità "No-auth" configurata, che si affidano a un reverse proxy o a un firewall per proteggere l'applicazione, sarebbero particolarmente vulnerabili, poiché questa vulnerabilità potrebbe concedere all'attaccante pieno accesso all'applicazione.

Nella versione 1.23.9, è stata aggiunta una verifica supplementare dell'intestazione HTTP Origin nel gestore delle connessioni socket.io. Per impostazione predefinita, se l'intestazione `Origin` è presente, verrà confrontata con l'intestazione Host. La connessione verrà negata se i nomi host non corrispondono, il che indicherebbe che la richiesta è cross-origin. La connessione sarà consentita se l'intestazione `Origin` non è presente. Gli utenti possono sovrascrivere questo comportamento impostando la variabile d'ambiente `UPTIME_KUMA_WS_ORIGIN_CHECK=bypass`.