Descripción
Dockhand en versiones anteriores a 1.0.45 contiene una omisión de autenticación en la que el hook global de autenticación omite la autenticación para cualquier ruta que termine en una extensión de recurso estático, como .js, incluidas las rutas /api/*, y los controladores de modificación de usuarios fallan de forma abierta (fail open) ante solicitantes no autenticados. Un atacante remoto no autenticado puede enviar una solicitud PUT a /api/users/<id>.js para restablecer la contraseña del administrador o de cualquier usuario y tomar el control de la cuenta.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- dockhand Afectadas: anteriores a 1.0.45 No afectadas: 1.0.45
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantegithub.com/Finsys/dockhand/security/advisories/GHSA-r3mg-r5vm-3v6w
- Aviso de vulncheck.comvulncheck.com/advisories/dockhand-before-1.0.45-authentication-bypass…
Ver el texto original en inglés (CVE.org)
Dockhand before 1.0.45 Authentication Bypass via Static-Asset Check
Dockhand before 1.0.45 contains an authentication bypass in which the global auth hook skips authentication for any path ending in a static-asset extension such as .js, including /api/* routes, and the user-mutation handlers fail open for unauthenticated callers. Unauthenticated remote attackers can send a PUT request to /api/users/<id>.js to reset the admin's or any user's password and take over the account.