Appsmith tizimiga hujum qilish osonlashdimi? Yangi zaiflik xavf solmoqda!

🔴 Appsmith platformasidan foydalanuvchilar ogoh bo‘ling! Ochiq kodli dasturiy ta’minot bo‘lgan Appsmith ichki tizimlar uchun ilovalar yaratishda keng qo‘llanadi. Ammo yaqinda ushbu platformada bir nechta xavfli zaifliklar aniqlanib, ular hujumchilarga masofaviy buyruqlar bajarish imkonini berishi mumkinligi ma’lum bo‘ldi.

Eng xavflisi CVE-2024-55963 zaifligi bo‘lib, u Appsmith’ning 1.20 dan 1.51 gacha bo‘lgan versiyalarida aniqlangan. Ushbu zaiflikdan foydalanib, autentifikatsiyadan o‘tmagan hujumchi serverda ixtiyoriy buyruqlar bajarishi mumkin.

Appsmith odatda turli ma’lumotlar bazalari, boshqaruv panellari va ichki tizimlar uchun ishlatiladi. Ushbu platforma PostgreSQL bazasidan foydalanadi, lekin Rhino Security Labs tadqiqotchilari ushbu ma’lumotlar bazasi noto‘g‘ri sozlanganini aniqlashdi.

Zaiflik quyidagicha ishlaydi:

🔹 Appsmith-ning standart sozlamalarida yangi foydalanuvchilarni ro‘yxatdan o‘tkazish mumkin.
🔹 Hujumchi o‘zining akkauntini yaratadi va yangi ish maydoni (workspace) hamda dastur ochadi.
🔹 Shundan so‘ng, noto‘g‘ri sozlangan PostgreSQL bazasiga ulana oladi.
🔹 COPY FROM PROGRAM funksiyasidan foydalanib, tizimda buyruqlar bajara oladi.

Bu esa hujumchiga server ustidan to‘liq nazorat o‘rnatish imkonini beradi! 😨

Boshqa xavfli zaifliklar

🔸 CVE-2024-55964 – Ruxsatsiz ma’lumot olish (IDOR)
– Minimal “App Viewer” huquqlari bo‘lgan foydalanuvchilar ham boshqa SQL ma’lumotlar bazalariga kirishi mumkin.

🔸 CVE-2024-55965 – Xizmatdan chiqarib yuborish (DoS)
– Kam huquqli foydalanuvchilar Appsmith serverini qayta ishga tushirish imkoniga ega bo‘lib qolgan. Bu esa tizimning uzilishiga sabab bo‘lishi mumkin.

Ushbu zaifliklardan foydalanib, tajovuzkor quyidagilarga erishishi mumkin:

✅ Tizimni to‘liq boshqarish – Hujumchi serverda ixtiyoriy buyruqlar bajara oladi.
✅ Maxfiy ma’lumotlarga kirish – Muhim hujjatlar, mijozlar bazasi va parollar himoyasiz qoladi.
✅ Ma’lumotlarni o‘chirib tashlash yoki o‘zgartirish – Kompaniyangizga katta zarar yetishi mumkin.
✅ Tarmoqqa chuqur kirish (Lateral Movement) – Hujumchi ichki tarmoqdagi boshqa serverlarga ham hujum qilishi mumkin.

Appsmith bu zaifliklarni bartaraf etish uchun yangi yangilanishlarni e’lon qildi. Quyidagi choralarga rioya qiling:

🔹 Appsmith’ni yangilang – 1.52 yoki undan yuqori versiyalariga o‘ting.
🔹 Foydalanuvchi ro‘yxatdan o‘tishini cheklang – Faqat ishonchli foydalanuvchilar tizimga kira olishi kerak.
🔹 PostgreSQL sozlamalarini tekshiring – Ma’lumotlar bazasi uchun kuchli autentifikatsiya talab qiling.
🔹 Tizimda g‘ayrioddiy faoliyatni kuzating – Serverga ruxsatsiz kirish urinishlarini tekshirib boring.
🔹 Tarmoqqa kirishni cheklang – Appsmith serveriga faqat ichki tarmoqdan kirishga ruxsat bering.

📢 Appsmith tizimidan foydalanayotgan barcha tashkilotlar va dasturchilar tezroq yangilanishni o‘rnatishlari shart! Ushbu zaifliklar hujumchilarga butun server ustidan nazorat o‘rnatish imkonini berishi mumkin. Netto’yog‘ bo‘lishidan oldin, iloji boricha tezroq Appsmith dasturini himoyalang! 🚀🔐