Хранение поперечного сценария (XSS) через несанитированные метаданные топологии в Apache Storm UI Взлоумышленники: до 2.8.6 Описание: Компо…

Хранение поперечного сценария (XSS) через несанитированные метаданные топологии в Apache Storm UI Взлоумышленники: до 2.8.6 Описание: Компонент визуализации Storm UI интерполирует метаданные топологии, включая идентификаторы компонентов, имена потоков и значения группирования непосредственно в HTML через ininHTML в parseNode() и parseEdge() без дезинфекции на любом уровне. Аутентифицированный пользователь с правами на представление топологии может создать топологию, содержащую вредоносный HTML/JavaScript в идентификаторах компонентов (например, идентификатор болта, содержащий обработчик событий по ошибке). Эта полезная нагрузка проходит через Nimbus → Thrift → Visualization API → vis.js tooltip рендеринг, что приводит к накоплению сценариев кросс-сайтов.  В многопользовательских развертываниях, где представление топологии доступно для менее доверенных пользователей, но пользовательский интерфейс доступен операторам или администраторам, это позволяет эскалировать привилегии через выполнение скрипта в сеансе браузера администратора. Смягчение: 2.x пользователи должны обновиться до 2.8.6. Пользователи, которые не могут немедленно обновиться, должны поместить функции parseNode() и parseEdge() в файле визуализации JavaScript, чтобы HTML-отказаться от всех значений, поставляемых API, включая nodeId, : емкость, :задержку, :компонент, :поток и : группировку перед интерполированием в строках HTML-подсказки, и должны дополнительно ограничить представление топологии доверенным пользователям.в примечаниях к выпуску 2.8.6. Кредит: Эта проблема была обнаружена при расследовании другого отчета К.