Серверные библиотеки NL Portal предоставляют серверные компоненты для правительственных порталов Нидерландов, которые взаимодействуют с жителями, клиентами, поставщиками и партнерскими организациями. В версиях до 3.0.0 включительно развертывания с использованием поставляемой конфигурации по умолчанию предоставляли две функции разработчика GraphQL без необходимости аутентификации: игровая площадка GraphiQL, интерактивный пользовательский интерфейс для выполнения запросов GraphQL; и самоанализ схемы, который позволяет вызывающей стороне загрузить полное описание каждого запроса, мутации, типа и аргумента, поддерживаемого API. Любой, кто мог достичь конечной точки `/graphiql`, мог открыть игровую площадку в браузере, получить полную схему и использовать ее для отображения API и создания вызовов к ней.
Само по себе это не приводит к утечке пользовательских данных, но исключает догадки при атаке на остальную часть API и значительно снижает планку поиска и использования других слабых мест. Версия 3.0.1 исправляет проблему. В качестве обходного пути переопределите два параметра в развернутой конфигурации.
Показать оригинальное описание (EN)
NL Portal Backend Libraries provide backend components for Dutch government portals that interact with residents, customers, suppliers, and partner organizations. In versions up to and including 3.0.0, deployments using the shipped default configuration exposed two GraphQL developer features without requiring authentication: the GraphiQL playground, an interactive UI for issuing GraphQL queries; and schema introspection, which lets a caller download the full description of every query, mutation, type, and argument the API supports. Anyone who could reach the `/graphiql` endpoint could open the playground in a browser, pull the full schema, and use that to map out the API and craft calls against it. By itself this does not leak user data, but it removes the guesswork from attacking the rest of the API and significantly lowers the bar for finding and exploiting other weaknesses. Version 3.0.1 patches the issue. As a workaround, override the two settings in deployed configuration.
Характеристики атаки
Последствия
Строка CVSS v3.1