Descripción
Homer es un software de código abierto de observabilidad para telecomunicaciones. En versiones anteriores a la 11.0.283, ambas funciones middleware de JWT (`JWTMiddleware` y `JWTMiddlewareV4`) retornan inmediatamente `next(c)` cuando `jwtSecret == ""`. El secreto JWT tiene por defecto el valor de una cadena vacía. En una instalación por defecto, todos los endpoints de API protegidos bajo `/api/v1`, `/api/v3` y `/api/v4` quedan completamente sin autenticación. La versión 11.0.283 corrige el problema.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- homer Afectadas: < 11.0.283
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/sipcapture/homer/security/advisories/GHSA-rqcc-94gv-wjm9
- Referencia en github.comgithub.com/sipcapture/homer/pull/839
- Referencia en github.comgithub.com/sipcapture/homer/commit/5e90809657c9df321db191a69c6050f873…
- Referencia en github.comgithub.com/sipcapture/homer/releases/tag/11.0.283
Ver el texto original en inglés (CVE.org)
Homer: Complete Authentication Bypass When coordinator.jwt.secret Is Empty (Default)
Homer is open source telecom observability software. Prior to version 11.0.283, both JWT middleware functions (`JWTMiddleware` and `JWTMiddlewareV4`) immediately return `next(c)` when `jwtSecret == ""`. The JWT secret defaults to an empty string. On a default installation, all protected API endpoints under `/api/v1`, `/api/v3`, and `/api/v4` are completely unauthenticated. Version 11.0.283 patches the issue.