CVE-2023-32322

Ombi istifadəçilərə populyar özünə aid (self-hosted) striminq serverlərindən müəyyən media faylları tələb etməyə imkan verən açıq mənbəli tətbiqdir. 4.38.2 versiyasından əvvəlki versiyalarda ixtiyari fayl oxuma zəifliyi mövcuddur ki, burada Ombi administratoru host əməliyyat sistemində Ombi server prosesi üçün əlçatan olan fayllara daxil ola bilər. Ombi administratorları hər zaman lokal sistem administratorları olmaya bilər və buna görə də bu, sistemin təhlükəsizlik gözləntilərini poza bilər. İxtiyari fayl oxuma zəifliyi `SystemControllers.cs` faylındakı `ReadLogFile` və `Download` son nöqtələrində (endpoints) mövcud idi, çünki `logFileName` parametri `Logs` kataloqu ilə birləşdirilməzdən əvvəl təmizlənmirdi. `Path.Combine(arg1, arg2, arg3)` funksiyasından istifadə edildikdə, hücumçu `arg3`-də ".." simvollarından istifadə edərək `Path.Combine(arg1, arg2)`-dən kənardakı qovluqlara/fayllara çıxa bilər. Bundan əlavə, `arg3` üçün mütləq yol (absolute path) göstərildikdə, `Path.Combine` ilk iki arqumenti tamamilə görməzdən gələcək və yalnız `arg3`-ü qaytaracaqdır. Bu zəiflik məlumat sızmasına səbəb ola bilər. Ombi `documentation` sənədləri Ombi-nin Administrator imtiyazları ilə Xidmət (Service) kimi işlədilməsini tövsiyə edir. Belə bir tətbiqi hədəfləyən hücumçu host maşındakı hər hansı Windows istifadəçisinin fayllarını və müəyyən sistem fayllarını oxuya bilər. Bu problem `b8a8f029` commit-ində və 4.38.2 buraxılış versiyasında həll edilmişdir. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Bu zəiflik üçün məlum alternativ həll yolları yoxdur. Bu problem həmçinin GHSL-2023-088 kimi izlənilir.