CVE-2021-41100

Wire-server açıq mənbəli Wire təhlükəsiz mesajlaşma tətbiqi üçün dəstək serveridir. Təsirə məruz qalan versiyalarda yalnız `Authorization` başlığındakı qısamüddətli sessiya tokeni ilə istifadəçinin e-poçt ünvanını dəyişdirmək mümkündür. Qısamüddətli token yalnız kliyentin backend-ə daha az kritik sorğular göndərərkən autentifikasiya vasitəsi kimi nəzərdə tutulduğu üçün, bu tokenlə e-poçt ünvanını dəyişdirə bilmək imtiyazların yüksəldilməsi hücumunu təşkil edir. Hücumçu e-poçt ünvanını özünün idarə etdiyi bir ünvanla əvəzlədikdən sonra şifrəni dəyişdirə bildiyi üçün, e-poçt ünvanının dəyişdirilməsi hesabın ələ keçirilməsi ilə nəticələnə bilər. Qısamüddətli tokenlər Wire kliyentləri tərəfindən uzunmüddətli tokenlər istifadə edilərək backend-dən tələb oluna bilər və bundan sonra uzunmüddətli tokenlər təhlükəsiz şəkildə, məsələn, cihazın açarlar zəncirində (key chain) saxlanıla bilər. Daha sonra qısamüddətli tokenlər mesajların göndərilməsi və qəbulu kimi tez-tez yerinə yetirilən hərəkətlər üçün kliyentin backend qarşısında autentifikasiyası üçün istifadə edilə bilər. Qısamüddətli tokenlər özlüyündə hücumçuya əlçatan olmamalı olsa da, onlar daha çox istifadə olunur və HTTP başlığı formasında olur ki, bu da kukilərdə saxlanılan və ötürülən uzunmüddətli tokenlərlə müqayisədə onların hücumçuya sızma riskini artırır. Əgər siz on-prem nümunəsi işlədirsinizsə və bütün istifadəçiləri SCIM ilə təmin edirsinizsə, bu problem sizə təsir etmir (SCIM istifadəçiləri üçün e-poçtun dəyişdirilməsi bloklanmışdır). SAML vahid giriş (single-sign-on) sistemi bu problemdən təsirlənmir və bu yeniləmədən əvvəl və sonra eyni cür davranır. Bunun səbəbi odur ki, SAML NameID kimi istifadə olunan e-poçt ünvanı verilənlər bazasında istifadəçilə Wire kənarında əlaqə saxlamaq üçün istifadə olunan ünvanla fərqli yerdə saxlanılır. Versiya 2021-08-16 və daha sonrakılar həm uzunmüddətli kliyent kukisini, həm də `Authorization` başlığını tələb edən yeni bir son nöqtə (end-point) təqdim edir. Köhnə son nöqtə silinib. Əgər siz on-prem nümunəsi işlədirsinizsə, istifadəçilərin ən azı bəziləri SAML SSO vasitəsilə dəvət edilib və ya təmin edilibsə və yeniləyə bilmirsinizsə, nginx-də (və ya quraşdırdığınız digər proksilərdə və ya firewall-larda) `/self/email` yolunu bloklaya bilərsiniz. Metodlara görə seçim etməyinizə ehtiyac yoxdur: `/self/email` yalnız `PUT` və `DELETE` sorğularını qəbul edir və `DELETE` demək olar ki, heç vaxt istifadə edilmir.