Vulnerabilidades do RocketChat Rocket.chat

Rocket.Chat é uma plataforma de comunicação de código aberto, segura e totalmente personalizável. Antes das versões 8.5.1, 8.4.4, 8.3.6, 8.2.6, 8.1.6, 8.0.7 e 7.10.13, em apps/meteor/app/apple/server/loginHandler.ts, handleIdentityToken analisa um JWT emitido pela Apple durante o fluxo OAuth. O bloco try verifica a presença de um parâmetro de e-mail. Se o JWT não contiver um endereço de e-mail, a aplicação passa a aceitar um valor de e-mail arbitrário fornecido diretamente na requisição. Atacantes conseguem forjar JWTs da Apple que não contêm endereço de e-mail e explorar esta vulnerabilidade para realizar ataques de tomada de conta. Esta vulnerabilidade está corrigida nas versões 8.5.1, 8.4.4, 8.3.6, 8.2.6, 8.1.6, 8.0.7 e 7.10.13.

Rocket.Chat é uma plataforma de comunicação de código aberto, segura e totalmente personalizável. Antes das versões 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11, a implementação do provedor de serviço SAML do Rocket.Chat ignora silenciosamente tanto a validação de assinatura da SAML Response quanto a da Assertion quando o campo de certificado do IdP configurado está vazio. A rotina verifySignatures executa um retorno antecipado quando serviceProviderOptions.cert é falsy, que é o estado padrão da configuração. Como o registro do provedor só verifica a opção SAML "enabled" e não a presença de certificado, um administrador que habilita o SAML sem colar um certificado de IdP obtém um endpoint de login SAML totalmente configurado e acessível publicamente, que aceita asserções não assinadas ou fornecidas pelo atacante. Esta é uma classe de bypass de autenticação em configuração padrão: o ramo fail-open é alcançado sem nenhuma configuração incorreta além de deixar um campo no seu valor padrão de fábrica. Esta vulnerabilidade está corrigida nas versões 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11.

Rocket.Chat é uma plataforma de comunicação de código aberto, segura e totalmente personalizável. Antes das versões 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11, um atacante de rede não autenticado obtém um token de acesso OAuth válido do Rocket.Chat para um usuário arbitrário enviando uma única requisição HTTP POST com operadores de consulta do MongoDB para /oauth/token. O servidor OAuth2 do Rocket.Chat não valida se os parâmetros de concessão são strings antes de encaminhá-los para findOne({...}) nas coleções oauth_apps e oauth_access_tokens, então o atacante substitui client_id, client_secret e refresh_token por {"$ne": null} e recebe um par {access_token, refresh_token} recém-emitido, vinculado ao refresh token do usuário que o Mongo retornou primeiro. O access token resultante é uma credencial bearer de primeira classe contra toda a superfície /api/v1/* como esse usuário. Iterando com operadores $nin / $regex, o atacante percorre toda a coleção oauth_access_tokens, coletando um novo access token por usuário por requisição. Se algum token correspondido pertencer a um administrador, o bearer roubado concede acesso administrativo total à API (incluindo instalação de apps do Apps-Engine, ou seja, execução de código no lado do servidor). Não são necessários conta, credenciais, userId nem interação prévia com a instância. Esta vulnerabilidade está corrigida nas versões 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11.

O Rocket.Chat é uma plataforma de comunicação de código aberto, segura e totalmente personalizável. Antes das versões 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11, o manipulador de login CAS do Rocket.Chat encaminha o valor options.cas.credentialToken, fornecido pelo cliente, diretamente para uma consulta findOne({_id: ...}) do MongoDB sem qualquer verificação de tipo em tempo de execução. A anotação de tipo string do TypeScript é apagada em tempo de execução, de modo que um atacante não autenticado pode substituir o que o servidor espera ser uma string opaca de ticket por um operador de consulta do MongoDB ({"$gt": ""}, {"$ne": null}, etc.). O operador injetado corresponde ao primeiro documento não expirado na coleção credential_tokens, contornando totalmente a verificação do ticket CAS. Quando há qualquer login SSO CAS ou SAML legítimo em andamento, a próxima chamada de login DDP do atacante corresponde à mesma linha de token de credencial por meio do operador NoSQL e recebe um token de autenticação Meteor completo (userId + token) vinculado à vítima. O token fica imediatamente utilizável contra toda a superfície REST e DDP como aquele usuário. Se a vítima for um administrador, isso escala para o comprometimento total da instância por meio da instalação de aplicativos do Apps-Engine. Esta vulnerabilidade está corrigida nas versões 8.5.0, 8.4.1, 8.3.3, 8.2.3, 8.1.4, 8.0.5, 7.13.7 e 7.10.11.

Rocket.Chat versions <8.5.1, 8.4.4, 8.3.6, 8.2.6, 8.1.6, 8.0.7, 7.13.9, 7.10.13 has an access control vulnerability in Livechat files. Protected file downloads at /file-upload/:fileId/:name authorize livechat access using rc_room_type=l with rc_rid+rc_token, but the authorization path does not verify that rc_rid matches the requested file's rid. Furthermore, :fileId is predictable via sequential MongoDB IDs, and :name can be anything, allowing unauthenticated discovery of all uploaded files.

In Rocket.Chat <8.3.0, <8.2.1, <8.1.2, <8.0.3, <7.13.5, <7.12.6, <7.11.6, and <7.10.9, a NoSQL injection vulnerability can lead to account takeover of the first user with a generated token when an OAuth app is configured.

Rocket.Chat is an open-source, secure, fully customizable communications platform. Prior to versions 7.10.8, 7.11.5, 7.12.5, 7.13.4, 8.0.2, 8.1.1, and 8.2.0, authentication vulnerabilities exist in Rocket.Chat's enterprise DDP Streamer service. The Account.login method exposed through the DDP Streamer does not enforce Two-Factor Authentication (2FA) or validate user account status (deactivated users can still login), despite these checks being mandatory in the standard Meteor login flow. This issue has been patched in versions 7.10.8, 7.11.5, 7.12.5, 7.13.4, 8.0.2, 8.1.1, and 8.2.0.

Rocket.Chat is an open-source, secure, fully customizable communications platform. Prior to versions 7.8.6, 7.9.8, 7.10.7, 7.11.4, 7.12.4, 7.13.3, and 8.0.0, a critical authentication bypass vulnerability exists in Rocket.Chat's account service used in the ddp-streamer micro service that allows an attacker to log in to the service as any user with a password set, using any arbitrary password. The vulnerability stems from a missing await keyword when calling an asynchronous password validation function, causing a Promise object (which is always truthy) to be evaluated instead of the actual boolean validation result. This may lead to account takeover of any user whose username is known or guessable. This issue has been patched in versions 7.8.6, 7.9.8, 7.10.7, 7.11.4, 7.12.4, 7.13.3, and 8.0.0.