Platform
other
Component
sunshine
Opgelost in
0.16.1
CVE-2024-31220 describes an Arbitrary File Access vulnerability discovered in Sunshine, a self-hosted game stream host for Moonlight. This vulnerability allows an attacker to remotely read arbitrary files without authentication. It affects versions 0.16.0 through 0.17.9, and a patch is available in version 0.18.0.
Een succesvolle exploitatie van deze kwetsbaarheid kan leiden tot ongeautoriseerde toegang tot gevoelige informatie op het systeem waarop Sunshine draait. Een aanvaller kan via een HTTP/S request naar de node_modules endpoint willekeurige bestanden lezen, mits de Sunshine configuratie web interface buiten localhost toegankelijk is, afhankelijk van de firewall configuratie. Dit kan leiden tot blootstelling van configuratiebestanden, broncode of andere gevoelige gegevens. De impact is aanzienlijk, vooral als de Sunshine server op een publiek toegankelijke server draait of als de aanvaller zich in hetzelfde lokale netwerk bevindt.
Deze kwetsbaarheid is openbaar bekend en er zijn geen bekende actieve campagnes gerapporteerd. Er zijn geen publieke proof-of-concept exploits beschikbaar op het moment van schrijven. De kwetsbaarheid is gepubliceerd op 5 april 2024. De ernst van de kwetsbaarheid is beoordeeld als hoog (CVSS 7.3).
Users who have deployed Sunshine with the configuration web user interface exposed outside of localhost, particularly those on shared hosting environments or with permissive firewall rules, are at significant risk. Legacy deployments using older versions of Sunshine are also vulnerable.
• linux / server: Monitor access logs for requests to the /node_modules endpoint. Use journalctl to search for related errors or suspicious activity.
journalctl -u sunshine | grep 'node_modules'• generic web: Use curl to test for endpoint exposure.
curl http://<sunshine_server>/node_modules• generic web: Examine access logs for unusual file access patterns or attempts to traverse directories.
disclosure
Exploit Status
EPSS
0.18% (40% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden naar Sunshine versie 0.18.0, waarin de kwetsbaarheid is verholpen. Indien een upgrade niet direct mogelijk is, zorg er dan voor dat de Sunshine configuratie web interface niet toegankelijk is vanaf buiten localhost. Implementeer strikte firewallregels om de toegang tot de server te beperken tot vertrouwde bronnen. Controleer de toegangsrechten op de bestanden en directories die door Sunshine worden gebruikt om te voorkomen dat ongeautoriseerde gebruikers toegang hebben. Na de upgrade, bevestig de correctie door een poging te doen om een bestand buiten de toegestane directory te benaderen via de node_modules endpoint; dit zou een foutmelding moeten opleveren.
Actualice Sunshine a la versión 0.18.0 o posterior. Como alternativa, bloquee el acceso a Sunshine a través de un firewall para evitar el acceso no autorizado a la interfaz web de configuración.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2024-31220 is a HIGH severity vulnerability in Sunshine versions 0.16.0 through 0.17.9 that allows an attacker to read arbitrary files without authentication if the web UI is exposed.
You are affected if you are running Sunshine versions 0.16.0 through 0.17.9 and the configuration web user interface is accessible from outside localhost.
Upgrade Sunshine to version 0.18.0. If upgrading is not possible, restrict access to the web UI to localhost and implement strict firewall rules.
There is currently no indication of active exploitation campaigns targeting CVE-2024-31220.
Refer to the Sunshine project's official website and GitHub repository for the latest advisory and security updates.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.