Directory Traversal in stitionai/devika

Een succesvolle exploitatie van deze directory traversal kwetsbaarheid stelt een aanvaller in staat om willekeurige PDF-bestanden van het systeem te downloaden. Dit omvat potentieel gevoelige informatie die in PDF-formaat is opgeslagen, zoals projectdocumenten, financiële rapporten of andere vertrouwelijke gegevens. De impact kan aanzienlijk zijn, met name als de bestanden toegang verlenen tot kritieke systemen of persoonlijke gegevens. De aanval kan vergelijkbaar zijn met bekende directory traversal aanvallen, waarbij de aanvaller de directory structuur navigeert om toegang te krijgen tot ongeautoriseerde bestanden. De blast radius is afhankelijk van de gevoeligheid van de PDF-bestanden die toegankelijk zijn via de kwetsbaarheid.

Organizations utilizing the stitionai/devika project, particularly those deploying it in production environments without proper security hardening, are at risk. Shared hosting environments where multiple users share the same server are also particularly vulnerable, as an attacker could potentially access PDF files belonging to other users.

• linux / server:

journalctl -u devika -f | grep "download_project_pdf"

• generic web:

curl -I 'http://your-devika-server/api/download-project-pdf?project_name=../../../../etc/passwd' | grep 'HTTP/1.1' # Check for 403 or 200 OK

1. 2024-06-27Disclosure

   disclosure

1. Gereserveerd2024-05-30
2. Gepubliceerd2024-06-27
3. Gewijzigd2024-08-01
4. EPSS bijgewerkt2026-04-02

Omdat er momenteel geen patch beschikbaar is voor deze kwetsbaarheid, is het essentieel om tijdelijke maatregelen te implementeren om het risico te minimaliseren. Een Web Application Firewall (WAF) kan worden geconfigureerd om verdachte verzoeken met gemanipuleerde 'projectname' parameters te blokkeren. Controleer de toegangsrechten tot de directory waar de PDF-bestanden worden opgeslagen en beperk deze tot de minimaal noodzakelijke gebruikers. Implementeer strenge input validatie op de /api/download-project-pdf endpoint om ervoor te zorgen dat de 'projectname' parameter alleen toegestane waarden bevat. Monitor de logbestanden op verdachte activiteit, zoals pogingen om bestanden buiten de beoogde directory te downloaden. Na implementatie van deze maatregelen, controleer de configuratie van de WAF en de toegangsrechten om te verzekeren dat de mitigatie effectief is.