CVE-2022-46163

Travel support program, openSUSE'nin seyahat destek programını (TSP) desteklemek için geliştirilmiş bir rails uygulamasıdır. Hassas kullanıcı verileri (banka hesap detayları, parola Hash değeri), Ransack sorgu enjeksiyonu yoluyla dışarı sızdırılabilir. Yamalanmış sürümün altındaki tüm travel-support-program dağıtımları etkilenmektedir. travel-support-program, arama işlevselliğini uygulamak için Ransack kütüphanesini kullanır. Varsayılan yapılandırmasında Ransack, ilişkili veritabanı nesnelerinin özelliklerine dayalı sorgu koşullarına izin verir [1]. Ardından `*_start`, `*_end` veya `*_cont` arama eşleştiricileri [2], karakter bazlı kaba kuvvet saldırısı ile ilişkili veritabanı nesnelerinin hassas dizgi değerlerini sızdırmak için kötüye kullanılabilir (eşleşme durumu, dönen JSON'un boş olmamasıyla belirtilir). Tek bir banka hesap numarası 200'den az istekte, bir parola hash değeri ise yaklaşık 1200 istekte, tamamı birkaç dakika içinde dışarı çıkarılabilir. Sorun d22916275c51500b4004933ff1b0a69bc807b2b7 commit'i ile yamalanmıştır. Bu sorunu gidermek için söz konusu yamayı cherry pick yapabilirsiniz; ancak bu işlem, beraberinde birçok pull request bağımlılığı bulunan ve #150 kapsamında gerçekleştirilen Rails 5.0 migrasyonu olmadan çalışmayacaktır.