Glances — это кроссплатформенный инструмент мониторинга системы с открытым исходным кодом. До версии 4.5.2 веб-сервер Glances REST API поставляется с конфигурацией CORS по умолчанию, которая устанавливает `allow_origins=["*"]` в сочетании с `allow_credentials=True`. Когда обе эти опции включены вместе, CORSMiddleware Starlette отражает запрашиваемое значение заголовка Origin в заголовке ответа Access-Control-Allow-Origin вместо возврата буквального подстановочного знака `*`.
Это фактически предоставляет любому веб-сайту возможность отправлять к серверу Glances API-запросы с учетными данными из разных источников, что позволяет осуществлять межсайтовую кражу данных системного мониторинга, секретов конфигурации и аргументов командной строки от любого пользователя, у которого есть активный сеанс браузера с экземпляром Glances. Версия 4.5.2 устраняет проблему.
Показать оригинальное описание (EN)
Glances is an open-source system cross-platform monitoring tool. Prior to version 4.5.2, the Glances REST API web server ships with a default CORS configuration that sets `allow_origins=["*"]` combined with `allow_credentials=True`. When both of these options are enabled together, Starlette's `CORSMiddleware` reflects the requesting `Origin` header value in the `Access-Control-Allow-Origin` response header instead of returning the literal `*` wildcard. This effectively grants any website the ability to make credentialed cross-origin API requests to the Glances server, enabling cross-site data theft of system monitoring information, configuration secrets, and command line arguments from any user who has an active browser session with a Glances instance. Version 4.5.2 fixes the issue.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Nicolargo Glances
cpe:2.3:a:nicolargo:glances:*:*:*:*:*:*:*:*
|
— |
4.5.2
|