NebulaGraph предоставляет свою конфигурацию времени выполнения через неаутентифицированную службу HTTP. Каждый демон запускает веб-службу, определенную в src/webservice/WebService.cpp, адрес привязки которой по умолчанию используется для всех интерфейсов, и регистрирует маршруты для чтения и записи gflags наряду со статусом и статистикой. Ни служба, ни ее маршрутизатор не осуществляют никакой аутентификации, проверки токена или ограничения адреса.
Маршрут чтения возвращает полный набор значений флагов времени выполнения демона, который включает настроенный сертификат, пути ключа и центра сертификации, путь к файлу паролей, каталоги данных и флаги включения транспортной безопасности. Маршрут записи анализирует предоставленную карту и применяет каждую запись через установщик среды выполнения gflags, поэтому вызывающая сторона, имеющая доступ к порту, может изменить поведение демона, не перезапуская его, включая отключение флагов транспортной безопасности, перенаправление файлов журналов и изменение таких флагов, как неудачные_логин_аттемты и пароль_блокировки_время_в_секс. Публичные отчеты об этой конечной точке описывают одно имя, Enable_authorize, которое было отклонено обработчиком; в версии 3.8.0 этого отказа нет, и обработчик применяет каждое заданное имя.
Показать оригинальное описание (EN)
NebulaGraph exposes its runtime configuration over an unauthenticated HTTP service. Each daemon starts the web service defined in src/webservice/WebService.cpp, whose bind address defaults to all interfaces, and registers routes for reading and writing gflags alongside status and statistics. Neither the service nor its router carries any authentication, token check or address restriction. The read route returns the daemon's full set of runtime flag values, which includes the configured certificate, key and certificate-authority paths, the password file path, data directories and the transport-security enable flags. The write route parses a supplied map and applies each entry through the gflags runtime setter, so a caller able to reach the port can change the daemon's behaviour without restarting it, including disabling the transport-security flags, redirecting log files and altering flags such as failed_login_attempts and password_lock_time_in_secs. Public reports of this endpoint describe a single name, enable_authorize, being refused by the handler; at release 3.8.0 that refusal is not present and the handler applies every name it is given.
Характеристики атаки
Последствия
Строка CVSS v4.0