URL __next OData không được xác thực có thể làm lộ dữ liệu xác thực trong SAP pyodata

Một dịch vụ OData độc hại hoặc đã bị xâm nhập có thể làm lộ thông tin xác thực nhạy cảm và đưa dữ liệu không đáng tin cậy vào ứng dụng, điều này có thể gây tác động cao đến tính bảo mật, tác động thấp đến tính toàn vẹn và không tác động đến tính sẵn sàng.

• SAP Odata, package pyodata từ pip: bị ảnh hưởng ở phiên bản pyodata (pip) < 1.11.2 theo CNA record.
• GitHub advisory xác định phiên bản đã được vá là 1.12.0 và hướng dẫn nâng cấp lên 1.12.0 or later.
• CNA record không liệt kê sản phẩm, package hoặc nhánh triển khai nào khác. Do ranh giới bị ảnh hưởng của CNA và phiên bản vá trong advisory không hoàn toàn giống nhau, các môi trường dùng nhánh trung gian nên được đối chiếu với hướng dẫn phát hành của vendor thay vì suy luận trạng thái từ một nhánh khác.

Thành phần bị ảnh hưởng là cách pyodata xử lý URL OData __next. Theo advisory, thư viện xác thực không đầy đủ các URL __next do nguồn bên ngoài cung cấp, vì vậy một OData service độc hại hoặc đã bị xâm nhập có thể khiến các request tiếp theo bị chuyển hướng đến đích không mong muốn.

Luồng tấn công ở mức khái quát là:

• Ứng dụng sử dụng pyodata để truy vấn một OData service.
• OData service cung cấp giá trị __next do bên ngoài kiểm soát.
• pyodata xử lý giá trị này mà không kiểm tra đầy đủ đích đến, dẫn đến chuyển hướng request.
• Dữ liệu xác thực nhạy cảm có thể bị tiết lộ và dữ liệu không đáng tin cậy có thể được đưa vào ứng dụng.

Bản ghi mô tả khả năng khai thác qua mạng, yêu cầu quyền hạn thấp, độ phức tạp cao và không yêu cầu tương tác của người dùng. Chi tiết về chuỗi request cụ thể, loại thông tin xác thực bị ảnh hưởng và các ngữ cảnh caller cụ thể chưa được công bố.

Việc khai thác yêu cầu ứng dụng sử dụng pyodata để giao tiếp với một OData service độc hại hoặc đã bị xâm nhập. Bản ghi mô tả khả năng tiếp cận qua mạng, yêu cầu quyền hạn thấp, độ phức tạp cao và không yêu cầu người dùng tương tác.

Thông tin làm giàu từ CISA ghi nhận trạng thái exploitation là none và khả năng tự động hóa là no tại thời điểm được ghi nhận. Bản ghi cũng không ghi nhận public exploit, exploit cụ thể, chiến dịch hoặc nạn nhân nào. Điều này không chứng minh rằng mọi môi trường đều an toàn, vì mức độ phơi nhiễm còn phụ thuộc vào các OData service mà ứng dụng tin cậy và cách ứng dụng xử lý các request tiếp theo.

Lỗi cho phép giá trị __next do OData service cung cấp ảnh hưởng đến đích của các request tiếp theo. Hậu quả kỹ thuật có thể gồm tiết lộ thông tin xác thực nhạy cảm và đưa dữ liệu không đáng tin cậy vào ứng dụng.

Tác động được ghi nhận là cao đối với tính bảo mật, thấp đối với tính toàn vẹn và không ảnh hưởng đến tính sẵn sàng. Phạm vi bảo mật không được mở rộng ngoài thành phần bị ảnh hưởng theo đánh giá hiện có. Mức độ tổn hại đối với tổ chức phụ thuộc vào quyền của credential bị lộ, dữ liệu mà ứng dụng xử lý và việc OData service có thể kiểm soát giá trị chuyển hướng hay không; các chi tiết này chưa được công bố đầy đủ.

• Thông tin xác thực nhạy cảm có thể bị tiết lộ khi ứng dụng thực hiện các request tiếp theo đến đích không mong muốn.
• Dữ liệu không đáng tin cậy có thể được đưa vào ứng dụng, tạo ra rủi ro đối với tính toàn vẹn của dữ liệu hoặc xử lý nghiệp vụ.
• Hệ quả thực tế phụ thuộc vào loại thông tin xác thực mà client gửi, các quyền của credential đó và dữ liệu mà ứng dụng chấp nhận từ OData service.
• Bản ghi mô tả tác động cao đến tính bảo mật, tác động thấp đến tính toàn vẹn và không có tác động đến tính sẵn sàng; không có bằng chứng trong dữ liệu hiện có về một vụ rò rỉ hoặc xâm nhập cụ thể.

1. Kiểm tra inventory và nâng cấp pyodata lên phiên bản 1.12.0, là phiên bản được advisory xác định đã vá. Advisory cũng nêu hướng dẫn nâng cấp lên 1.12.0 or later.
2. Xác minh lại phiên bản thực tế trong từng môi trường runtime, image, virtual environment và lockfile sau khi nâng cấp.
3. Rà soát các ứng dụng sử dụng OData service không do tổ chức kiểm soát và ưu tiên xử lý những ứng dụng truyền thông tin xác thực trong các request tiếp theo.
4. Nếu chưa thể nâng cấp, advisory không cung cấp workaround. Hãy yêu cầu hướng dẫn trực tiếp từ SAP hoặc maintainer, đồng thời đánh giá tạm thời việc hạn chế các OData service không tin cậy theo chính sách triển khai của tổ chức.
5. Sau thay đổi, kiểm tra log outbound và các đích request phát sinh từ __next để phát hiện hành vi chuyển hướng bất thường.

• Kiểm kê dependency của ứng dụng và xác định các môi trường đang cài pyodata trong phạm vi bị ảnh hưởng.
• Kiểm tra chính xác phiên bản package từ lockfile, manifest, metadata của môi trường Python hoặc công cụ quản lý package; không chỉ dựa vào phiên bản của ứng dụng bao bọc.
• Xác định các ứng dụng sử dụng OData service bên ngoài hoặc các service không hoàn toàn do tổ chức kiểm soát.
• Rà soát log của OData client và outbound HTTP để tìm các lần xử lý __next dẫn đến đích không mong muốn, đặc biệt khi đích khác với host OData đã cấu hình. Đây là kiểm tra phòng ngừa dựa trên cơ chế lỗi, không phải một IOC được vendor xác nhận.
• Kiểm tra việc truyền hoặc xử lý thông tin xác thực trong các request tiếp theo sau khi nhận URL __next.

Không có log signature hoặc IOC cụ thể nào được công bố. Không thấy log chuyển hướng không có nghĩa là môi trường không bị ảnh hưởng.