CVE-2024-31214

Traccar açık kaynaklı bir GPS takip sistemidir. Traccar 5.1 ile 5.12 arasındaki sürümler, cihaz görseli yükleme API'si aracılığıyla rastgele dosyaların yüklenmesine izin verir. Saldırganlar dosya içerikleri üzerinde tam kontrole, dosyanın depolandığı dizin üzerinde tam kontrole, dosya uzantısı üzerinde tam kontrole ve dosya adı üzerinde kısmi kontrole sahiptir. Bir saldırganın mevcut bir dosyanın üzerine yazması mümkün olmasa da, saldırgan dosya sisteminde herhangi bir yerde belirli adlara ve saldırgan tarafından kontrol edilen uzantılara sahip yeni dosyalar oluşturabilir. Bu durum potansiyel olarak uzaktan kod çalıştırma, XSS, DOS vb. sonuçlara yol açabilir. Traccar'ın varsayılan kurulumu bu güvenlik açığını daha ciddi hale getirir. Kendi kendine kayıt varsayılan olarak etkindir ve herkesin bu güvenlik açığından yararlanmak için bir hesap oluşturmasına izin verir. Traccar ayrıca varsayılan olarak root/system ayrıcalıklarıyla çalışır ve dosyaların dosya sisteminde herhangi bir yere yerleştirilmesine izin verir. Sürüm 6.0 bu sorun için bir düzeltme içerir. Ayrıca, kendi kendine kayıt varsayılan olarak kapatılabilir; bu, uygulamadaki çoğu güvenlik açığının varsayılan olarak yararlanılmasını çok daha zor hale getirir ve ciddiyetini önemli ölçüde azaltır.