Система GPS-слежения Traccar до версии 4.9 имеет уязвимость к LDAP-инъекциям. Она возникает, когда пользовательский ввод используется в фил…
Система GPS-слежения Traccar до версии 4.9 имеет уязвимость к LDAP-инъекциям. Она возникает, когда пользовательский ввод используется в фильтре поиска LDAP. Предоставив специально созданный ввод, злоумышленник может изменить логику запроса LDAP и получить права администратора. Проблема затрагивает только экземпляры с конфигурацией LDAP и где пользователи могут создавать свои собственные имена. Эта проблема была исправлена в версии 4.9.
Продукт формирует запрос LDAP полностью или частично с использованием внешних входных данных из вышестоящего компонента, но не нейтрализует или некорректно нейтрализует специальные элементы, способные изменить замысленный запрос при передаче нижестоящему компоненту.
https://cwe.mitre.org/data/definitions/90.html →Открыть в коллекции CWE →Злоумышленник манипулирует LDAP-запросом или формирует его специальным образом с целью подрыва безопасности цели. Некоторые приложения используют вводимые пользователем данные для формирования LDAP-запросов, которые затем обрабатываются LDAP-сервером. Например, пользователь может указать своё имя при аутентификации, и оно может быть включено в LDAP-запрос в процессе аутентификации. Злоумышленник может использовать эти данные для внедрения в LDAP-запрос дополнительных команд, способных раскрыть конфиденциальную информацию. Например, ввод символа * в упомянутый запрос может вернуть сведения обо всех пользователях системы. Данная атака во многом схожа с внедрением SQL-кода: она манипулирует запросом для получения дополнительных сведений или принуждения к возврату определённого значения.
https://capec.mitre.org/data/definitions/136.html →Открыть в коллекции CAPEC →