CVE-2023-49805

Uptime Kuma, kullanımı kolay, kendi sunucunuzda barındırılan bir izleme aracıdır. 1.23.9 sürümünden önce, uygulama WebSocket (Socket.io ile) kullanır ancak iletişimin kaynağının geçerli olduğunu doğrulamaz. Bu, üçüncü taraf bir web sitesinin istemcisi adına uygulamaya erişmesine olanak tanır. Socket.IO kullanarak sunucuya bağlanırken, sunucu `Origin` başlığını doğrulamaz ve bu da başka bir sitenin sunucuya bağlantı açıp onunla iletişim kurabilmesine yol açar. Diğer web sitelerinin çoğu özelliğe erişmek için yine de kimlik doğrulaması yapması gerekir, ancak bu, uygulamayı dağıtan kişiler tarafından konulan güvenlik duvarı korumalarının atlatılması için kullanılabilir. Origin doğrulaması olmadan, başka bir origin'den çalıştırılan Javascript'in herhangi bir kullanıcı etkileşimi olmadan uygulamaya bağlanmasına izin verilir. Giriş kimlik bilgileri olmadan böyle bir bağlantı, uygulamanın hassas verilerini içeren korumalı uç noktalara erişemez. Ancak böyle bir bağlantı, saldırganın uygulamanın görülmemiş güvenlik açıklarından daha fazla yararlanmasına olanak tanıyabilir. Uygulamaya koruma sağlamak için bir ters proxy veya güvenlik duvarına güvenen "No-auth" modu yapılandırılmış kullanıcılar özellikle savunmasız olacaktır çünkü bu, saldırgana uygulamaya tam erişim sağlar. 1.23.9 sürümünde, socket.io bağlantı işleyicisine HTTP Origin başlığının ek doğrulaması eklenmiştir. Varsayılan olarak, `Origin` başlığı mevcutsa Host başlığına karşı kontrol edilir. Ana bilgisayar adları eşleşmezse bağlantı reddedilir, bu da isteğin siteler arası olduğunu gösterir. `Origin` başlığı mevcut değilse bağlantıya izin verilir. Kullanıcılar `UPTIME_KUMA_WS_ORIGIN_CHECK=bypass` ortam değişkenini ayarlayarak bu davranışı geçersiz kılabilir.