Nicht authentifizierte RCE über RecordsField-Eval der JSON API

Beschreibung

if not getSecurityManager().checkPermission(
        "senaite.core: Access JSON API", parent):
    raise Unauthorized("You don't have permission ...")

elif fieldtype in ['senaite.core.browser.fields.records.RecordsField',
                   'senaite.core.browser.fields.record.RecordField']:
    try:
        value = eval(value)
    except Exception:
        logger.warning(
            "JSONAPI: " + fieldname + ": Invalid "
            "JSON/Python variable")
        return []

Auswirkung

• Nicht authentifiziertes Ausführen von beliebigem Programmcode: Eine einzige anonyme HTTP-Anfrage führt beliebigen Python-Code im Zope-Worker-Prozess aus, mit vollem Lese- und Schreibzugriff auf die ZODB (Labordaten, in klinischen Deployments auch Patientendaten), Dateisystemzugriff auf das Datenvolume des Containers und ausgehendem Netzwerkverkehr. Der Schreibzugriff umfasst das unbemerkte Verändern oder Löschen einzelner Analyseergebnisse, auf die sich behandelnde Ärztinnen und Ärzte verlassen.
• Persistenz: Die Codeausführung ermöglicht direkten Zugriff auf acl_users (den Plone-PAS-Benutzerordner) zum Anlegen von Administrator-Konten, und das ZMI unter /manage ist im Upstream-Docker-Image exponiert.
• Das Zurückrollen der Transaktion ist keine Mitigation: Der gescheiterte Mutator macht die ZODB-Schreibvorgänge rückgängig, aber die Nebenwirkungen des eval (Subprozess, Netzwerk, Datei-I/O) wurden bereits ausgeführt.

Abhilfe

Zum Zeitpunkt der Veröffentlichung existiert kein Patch, daher müssen beide Grundursachen auf Deployment- oder Quellcode-Ebene adressiert werden. Beschränken Sie den anonymen Zugriff auf die @@API-View (etwa durch eine Authentifizierungspflicht für /@@API/ am Reverse Proxy), bis ein Upstream-Patch verfügbar ist. Auf Quellcode-Ebene: Fügen Sie die AccessJSONAPI-Berechtigungsprüfung am Anfang jeder zustandsändernden Route in src/bika/lims/jsonapi/ hinzu (analog zur bestehenden Prüfung in create.py) und ersetzen Sie das eval() auf RecordField-/RecordsField-Werten in set_fields_from_request durch json.loads(): Die gespeicherte Struktur ist ein JSON-kompatibles Dict oder eine Liste von Dicts, sodass JSON-Parsing ausreicht und das Primitiv zur Codeausführung entfernt.

Checkliste für Betreiber

• Anonymen Zugriff auf die JSON API blockieren.

  Bis ein Patch verfügbar ist, fordern Sie eine Authentifizierung für /@@API/ am Reverse Proxy oder beschränken Sie den Endpunkt anderweitig auf vertrauenswürdige Netze. Die Kette benötigt keine Credentials, daher ist die Netzexposition das unmittelbare Risiko.

• eval() durch json.loads() auf RecordField-/RecordsField-Werten ersetzen.

  Dasselbe eval()-Muster findet sich auch in den Feld-Settern unter src/senaite/core/browser/fields/record.py und records.py. Stellen Sie alle drei auf json.loads() mit try/except um, das bei Fehlern eine leere Struktur zurückgibt.

• Die AccessJSONAPI-Prüfung zu jeder zustandsändernden Route hinzufügen.

  Ohne sie sind mindestens update, update_many, remove, doActionFor, doActionFor_many und getusers für Anonymous erreichbar. Prüfen Sie jeden IRouteProvider in src/bika/lims/jsonapi/configure.zcml.

• Plones CSRF-Schutz wieder aktivieren.

  Das untersuchte Release liefert ISenaiteCore(IDisableCSRFProtection), was die automatische CSRF-Erkennung von plone.protect für den SENAITE-Browser-Layer deaktiviert. Das Entfernen dieser Vererbung betrifft diese nicht authentifizierte Kette nicht, schließt aber mehrere authentisierte CSRF-Ketten.

Bewertung im Detail

Referenzen

• CVE-2026-54569 (NVD)
• GHSA-jrw6-7x4q-w25j (SENAITE)
• SENAITE.CORE-Repository

So können wir helfen

• MDR-Penetrationstests