SQL injection trong bulk_update ảnh hưởng Frappe (nhà cung cấp: frappe)

Frappe là một framework ứng dụng web full-stack. Trước các phiên bản 16.14.0 và 15.104.0, Frappe có lỗ hổng SQL injection trong bulk_update. Lỗ hổng này được khắc phục trong 16.14.0 và 15.104.0.

Bản ghi chuẩn hóa xác định các phạm vi bị ảnh hưởng sau:

• Gói frappe: < 15.104.0.
• Gói frappe: >= 16.0.0-beta.1, < 16.14.0.

Trang advisory của nhà cung cấp hiển thị các phạm vi tổng quát <16.14.0 và <15.104.0; bản ghi có cấu trúc bổ sung giới hạn nhánh 16.x bắt đầu từ 16.0.0-beta.1. Trạng thái của các bản phát hành trước 16.0.0-beta.1 và các nhánh song song khác chưa được bằng chứng hiện có xác lập.

Frappe (nhà cung cấp: frappe) có lỗ hổng SQL injection trong thao tác bulk_update, được phân loại là CWE-89. Lỗi này cho phép dữ liệu đi vào thao tác ảnh hưởng đến việc xây dựng hoặc thực thi câu lệnh SQL, nhưng bằng chứng hiện có không nêu tham số, câu lệnh, endpoint hay code path cụ thể. Đặc tính tấn công trong bản ghi mô tả một đường dẫn có thể truy cập qua mạng, độ phức tạp thấp, không yêu cầu xác thực và không cần tương tác của người dùng. Điều này cho thấy các triển khai để lộ thao tác dễ bị ảnh hưởng có thể bị truy cập từ xa, nhưng không xác nhận một URL công khai hay cấu hình triển khai cụ thể. Phạm vi phiên bản bị ảnh hưởng là các nhánh nêu trong affected_summary; trạng thái của các nhánh khác chưa được xác lập. Hành vi cụ thể của database engine, quyền của tài khoản database và mức ảnh hưởng đến tenant isolation không được công bố.

Bản ghi mô tả lỗ hổng có thể bị khai thác qua mạng, với độ phức tạp thấp, không yêu cầu xác thực và không cần tương tác của người dùng. Bản ghi được cung cấp đánh dấu public_exploit là false và known_exploited là null. Điều này không chứng minh rằng việc khai thác không thể xảy ra hoặc chưa từng xảy ra. Bằng chứng hiện có không xác lập exploit công khai, chiến dịch, nạn nhân hay chỉ dấu nhận diện cụ thể.

Khai thác thành công có thể cho phép thực hiện các thao tác SQL trái phép trong phạm vi mà tài khoản database và ứng dụng cho phép. Hậu quả có thể gồm đọc dữ liệu trái phép, sửa đổi hoặc xóa dữ liệu, và làm suy giảm hoặc ngừng dịch vụ phụ thuộc vào database. Bản ghi đánh giá ảnh hưởng ở mức cao đối với tính bí mật, toàn vẹn và khả dụng, nhưng không nêu quyền database cụ thể, cơ chế vượt qua phân quyền ứng dụng hay phạm vi tenant bị tác động. Vì vậy, tác động tổ chức có thể từ rò rỉ hoặc sai lệch dữ liệu đến gián đoạn vận hành, tùy cấu hình triển khai.

Một hệ thống Frappe bị ảnh hưởng có thể phải đối mặt với nguy cơ truy cập trái phép vào dữ liệu, thay đổi dữ liệu hoặc gây gián đoạn dịch vụ database-backed. Mức độ thiệt hại thực tế phụ thuộc vào quyền của tài khoản database, dữ liệu mà ứng dụng có thể truy cập và cách triển khai tenant isolation. Các hệ thống có đường dẫn Frappe có thể truy cập qua mạng cần được ưu tiên kiểm kê và cập nhật. Bằng chứng hiện có không nêu vụ xâm nhập, nạn nhân hoặc chiến dịch cụ thể, nên không thể kết luận đã có rò rỉ dữ liệu hay gián đoạn thực tế.

1. Với nhánh 15.x bị ảnh hưởng, nâng cấp Frappe lên chính xác bản 15.104.0.
2. Với nhánh 16.x bị ảnh hưởng, nâng cấp Frappe lên chính xác bản 16.14.0.
3. Advisory của nhà cung cấp nêu rằng không có workaround và yêu cầu nâng cấp lên các bản đã vá. Không nên coi việc giới hạn truy cập mạng là bản sửa; biện pháp này chỉ có thể giảm khả năng tiếp cận như một lớp phòng thủ tạm thời.
4. Kiểm tra lại mọi môi trường và nhánh phát hành sau khi cập nhật. Việc một nhánh có bản sửa không chứng minh rằng các nhánh khác hoặc các bản phát hành song song đã được xác nhận an toàn.

1. Kiểm kê mọi cài đặt gói frappe, bao gồm môi trường production, staging và các môi trường tenant, rồi đối chiếu phiên bản với các khoảng bị ảnh hưởng.
2. Xác định các triển khai có sử dụng hoặc để lộ chức năng bulk_update; bằng chứng hiện có không nêu endpoint cụ thể nên không nên suy đoán URL kiểm tra.
3. Rà soát log ứng dụng, reverse proxy và database quanh các yêu cầu liên quan đến cập nhật hàng loạt hoặc lỗi SQL bất thường. Đây chỉ là biện pháp giám sát phòng ngừa, vì nguồn hiện có không cung cấp IOC hay mẫu log cụ thể.
4. Sau khi cập nhật, kiểm tra lại metadata phiên bản của gói và xác nhận từng nhánh đã đạt bản sửa tương ứng. Không thấy log đáng ngờ không chứng minh hệ thống an toàn.