Graylog

In der Weboberfläche von Graylog (Version 2.2.3) werden zuvor ausgegebene Sitzungs-IDs nach einer erneuten Anmeldung nicht ungültig gemacht. Bei jeder Authentifizierung wird zwar eine neue sessionId erzeugt, alte Kennungen bleiben jedoch gültig. Ein gestohlener oder geleakter sessionId lässt sich damit weiterhin für gültige Anfragen verwenden; ein Angreifer mit Netzzugang zum Web-/API-Dienst (Port 9000 bzw. HTTP/S-Endpunkt) kann so unbefugten Zugriff erlangen und die Integrität des betroffenen Kontos beeinträchtigen. CVSS-Basiswert: 9.8 (Kritisch).

In Graylog (Versionen 6.2.0 vor 6.2.4 sowie 6.3.0-alpha.1 vor 6.3.0-rc.2) können laut NVD Nutzer ihre Rechte ausweiten, indem sie API-Tokens für den lokalen Administrator oder andere Nutzer erstellen und verwenden, deren ID sie kennen. Der Angreifer benötigt ein Nutzerkonto und kann dann über handgefertigte Anfragen an die REST-API eine schwache Berechtigungsprüfung bei der Token-Erstellung ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Version 6.2.4 oder 6.3.0-rc.2 aktualisieren; ersatzweise das Erstellen persönlicher Zugriffstoken deaktivieren.

In der Log-Management-Plattform Graylog ist es vor den Versionen 6.0.14, 6.1.10 und 6.2.0 möglich, Session-Cookies von Benutzern abzugreifen, indem ein HTML-Formular in das Feld Remediation Step einer Event-Definition eingeschleust wird. Für einen erfolgreichen Angriff benötigt der Angreifer ein Benutzerkonto mit Berechtigung zum Anlegen von Event-Definitionen, während das Opfer Alerts einsehen können muss; zusätzlich muss auf dem Graylog-Server ein aktiver Input vorhanden sein, der Formulardaten entgegennehmen kann (z. B. HTTP-Input, TCP raw oder Syslog). CVSS-Basiswert: 8 (Hoch). Workarounds sind nicht bekannt. Empfohlene Massnahme: Aktualisierung auf Version 6.0.14, 6.1.10 bzw. 6.2.0.

Graylog ist eine freie Log-Management-Plattform. In Versionen ab 2.0.0 und vor 5.1.11 sowie 5.2.4 lassen sich über eine HTTP-PUT-Anfrage an den Endpunkt /api/system/cluster_config/ beliebige Klassen laden und instanziieren. Ein entsprechend berechtigter Nutzer kann damit Code ausführen, der bei der Instanziierung läuft, und im Fall von java.io.File sogar Dateiinhalte offenlegen. Die Versionen 5.1.11 und 5.2.4 enthalten eine Korrektur. CVSS-Basiswert: 8.8 (Hoch).

Graylog2 Server vor Commit 46a2eeb enthält im Endpunkt POST /events/definitions/{definitionId}/duplicate eine fehlende Berechtigungsprüfung auf Objektebene. Authentifizierte Benutzer können dadurch beliebige Event-Definitionen duplizieren. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Graylog-Version mit dem entsprechenden Fix aktualisieren.