GeoNetwork: تجاوز قائمة التحكم بالوصول (ACL) على بحث Elasticsearch عند إغفال حقل الاستعلام في جسم الطلب

ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.

الملخص

تطبيق GeoNetwork هو تطبيق كتالوج لإدارة الموارد المرجعية مكانياً. من الإصدار 4.0.0-alpha.1 حتى 4.2.16 و4.4.11، يمكن الوكيل البحث المدعوم بـ Elasticsearch تخطي حقن مرشح التحكم بالوصول الخاص بـ GeoNetwork عندما يكون طلب العميل مفتقراً إلى حقل الاستعلام. يتم بعد ذلك توجيه الطلب إلى Elasticsearch بدون رؤية المجموعة، أو استبعاد المسودة، أو ملكية السجل، أو التصفية الخاصة بالبوابة. يمكن لمهاجم عن بُعد دون مصادقة استخدام واجهة برمجة تطبيقات البحث العام المتأثرة لاسترداد محتويات البيانات الوصفية المفهرسة بالكامل والتي يجب ألا تكون مرئية للعامة. تم إصلاح هذه المشكلة في الإصدارين 4.2.16 و4.4.11.

المعالجة

1. أحصِ جميع نشرات geonetwork core-geonetwork، بما فيها بيئات الاختبار.
2. لا يظهر إصدار مصحَّح في المصادر العامة حتى الآن. راجع المراجع أدناه وتواصل مع المورّد مباشرة.

المراجع

• مرجعhttps://github.com/geonetwork/core-geonetwork/security/advisories/GHSA-582q-v28r-7cxr
• مرجعhttps://github.com/geonetwork/core-geonetwork/commit/1916412d38999f2eff68bad2dfccd69340d20f3f
• مرجعhttps://github.com/geonetwork/core-geonetwork/commit/6c756c63cd1fa942f3832d99c64380c69c5e8be9
• مرجعhttps://github.com/geonetwork/core-geonetwork/releases/tag/4.2.16
• مرجعhttps://github.com/geonetwork/core-geonetwork/releases/tag/4.4.11