Arquivos de ambiente DreamMaker do tgstation-server fora do diretório de implantação podem ser compilados e executados por usuários com permissões insuficientes

Um atacante pode explorar essa vulnerabilidade para executar código arbitrário no servidor tgstation-server. O processo envolve a capacidade de definir arquivos .dme maliciosos, que podem ser carregados através do próprio tgstation-server ou por outros meios. Se o servidor estiver configurado para operar com um nível de segurança confiável (requerendo um terceiro privilégio isolado ou sendo definido por outro usuário), a execução desses arquivos .dme pode resultar em uma escalada para execução remota de código através do shell() do BYOND. O impacto é severo, pois permite a tomada de controle do servidor e a execução de comandos com os privilégios do processo tgstation-server. A vulnerabilidade se assemelha a cenários de execução de código não autorizado através de arquivos de configuração, com potencial para comprometer a integridade e confidencialidade dos dados.

tgstation-server deployments, particularly those running versions 4.0.0 through 6.7.9, are at risk. Environments utilizing the "Set .dme Path" privilege and configured with BYOND's trusted security level are especially vulnerable. Shared hosting environments running tgstation-server should be considered high-risk due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -u tgstation-server | grep '.dme Path' -i

• linux / server:

lsof | grep '.dme'

• generic web: Inspect tgstation-server configuration files for insecure settings related to trusted security level and shell() proc.

1. 2024-07-29Disclosure

   disclosure

1. Reservado2024-07-22
2. Publicada2024-07-29
3. Modificada2024-08-02
4. EPSS atualizado2026-04-02

A mitigação primária é atualizar o tgstation-server para a versão 6.8.0, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere as seguintes medidas: restrinja o acesso ao privilégio "Set .dme Path" apenas a usuários confiáveis; implemente validação rigorosa dos arquivos .dme antes de permitir sua utilização; configure o servidor para não operar com um nível de segurança confiável, a menos que seja absolutamente necessário. Monitore os logs do servidor em busca de atividades suspeitas relacionadas à manipulação de arquivos .dme. Após a atualização, verifique se a vulnerabilidade foi corrigida executando testes de penetração ou revisando o código-fonte.