Zipline初期設定の脆弱性、管理者を作成される。4.6.5で修正
Summary
セルフホスト型のファイル共有サーバーZipline 4.6.5未満に、初期セットアップの受付を突かれて管理者アカウントを複数作られる脆弱性があります。修正版の4.6.5へ更新し、構築直後に公開していたインスタンスは見覚えのない管理者がいないかも調べてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
セルフホスト型のファイル共有サーバーZipline 4.6.5未満に、初期セットアップの受付を突かれて管理者アカウントを複数作られる脆弱性があります。修正版の4.6.5へ更新し、構築直後に公開していたインスタンスは見覚えのない管理者がいないかも調べてください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| dicedzipline |
< 4.6.5→ 4.6.5 |
4.6.5 |
Original description The description as published by the source.
Zipline before 4.6.5 contains a TOCTOU race condition in the POST /api/setup endpoint that allows unauthenticated attackers to create multiple SUPERADMIN accounts by racing concurrent requests before the firstSetup flag is reset. Attackers can send simultaneous requests with spoofed X-Forwarded-For headers during the argon2 hashing window to gain full administrative control of the instance.
Source: CVE.org (CVE Program・cvelistV5) NVD