Vulnerabilidades

El componente de subida de archivos de Malcolm incluye el servidor PHP original de FilePond (pqina/filepond-server-php) prácticamente sin modificar: el Dockerfile copia todos los archivos *.php originales y Malcolm solo sobrescribe config.php y submit.php. El index.php original expone una ruta de API fetch que indica…

El servicio de captura en directo de Arkime (arkime-live) en Malcolm se ejecuta con network_mode: host, exponiendo el puerto 8005 en todas las interfaces de red (viewHost=0.0.0.0). Arkime confía en la cabecera X-Forwarded-User procedente de cualquier dirección IP (userAuthIps=::,0.0.0.0/0) y crea automáticamente…

La aplicación Flask del quiosco de Malcolm expone un endpoint POST /script_call/<script> sin ninguna autenticación y con CORS comodín (CORS(app)). Un atacante puede obligar al navegador del operador a ejecutar comandos de gestión arbitrarios mediante falsificación de solicitudes entre sitios (CSRF), incluido…

El proxy inverso nginx frontal de Malcolm define una location "Dashboards → Arkime shortcut" usando un comparador de expresión regular que no distingue mayúsculas y minúsculas pero una reescritura que sí las distingue. Una solicitud cuyo segmento de ruta no esté exactamente en minúsculas (por ejemplo /IDDASH2ARK/...)…

La canalización de procesamiento de subidas de Malcolm (scripts/safe-extract.py) aplica límites de número de entradas, profundidad de anidamiento y bytes totales sin comprimir al extraer archivos contenedores (zip/tar/rar/7z mediante libarchive), pero esos límites no se aplican cuando el archivo subido está en un…

La capa de control de acceso basado en roles (RBAC) en Lua de nginx de Malcolm decide si un usuario autenticado puede acceder a una ruta restringida por rol (por ejemplo /htadmin, /auth, /admin_login, /arkime/api/esadmin, NetBox, endpoints de subida) mediante la comparación de patrones con el URI de la solicitud sin…

El proxy inverso basado en nginx de Malcolm contiene una incoherencia en la normalización de rutas URL entre su capa de autorización de control de acceso basado en roles (RBAC) implementada en Lua y la propia lógica de enrutamiento de solicitudes de nginx. Un usuario autenticado puede elaborar una ruta de solicitud…

La canalización de procesamiento de subidas de Malcolm (scripts/safe-extract.py) aplica límites de número de entradas, profundidad de anidamiento y bytes totales sin comprimir al extraer archivos contenedores (zip/tar/rar/7z mediante libarchive), pero esos límites no se aplican cuando el archivo subido está en un…

La capa de control de acceso basado en roles (RBAC) en Lua de nginx de Malcolm decide si un usuario autenticado puede acceder a una ruta restringida por rol (por ejemplo /htadmin, /auth, /admin_login, /arkime/api/esadmin, NetBox, endpoints de subida) mediante la comparación de patrones con el URI de la solicitud sin…

Malcolm es un conjunto de herramientas de análisis de tráfico de red. En versiones anteriores a la 26.07.0, el control de acceso basado en roles aplicado en la capa Lua de Nginx OpenResty evalúa el `ngx.var.request_uri` en bruto y sin normalizar, mientras que el propio Nginx enruta las solicitudes usando la ruta…

Malcolm es un conjunto de herramientas de análisis de tráfico de red. En versiones anteriores a la 26.07.0, `safe-extract.py` protege la extracción de archivos con los indicadores seguros de libarchive, pero crea las entradas de directorio con un `os.makedirs(os.path.join(dest, entry.pathname))` en bruto que no tiene…

Malcolm es un conjunto de herramientas de análisis de tráfico de red. En versiones anteriores a la 26.07.0, `safe-extract.py` extrae los archivos comprimidos subidos sin límite en el número de entradas, la profundidad de directorios, el total de entradas ni el tamaño de salida. Un pequeño archivo comprimido malicioso…

Malcolm es un conjunto de herramientas de análisis de tráfico de red. El componente de subida de archivos (backend PHP de FilePond) acepta subidas en `POST /server/php/submit.php` y las almacena en un directorio servido por la misma instancia de nginx y php-fpm. La lista de permitidos que debería restringir los tipos…

El módulo PlRPC para Perl, posiblemente 0.2020 y anteriores, utiliza el módulo Storable, lo que permite a atacantes remotos ejecutar código arbitrario a través de una solicitud manipulada, lo cual no se maneja debidamente cuando está deserializada.