CVE-2024-58360: Fehlende Account-Erstellungsbeschränkungen in stoatchat

Zusammenfassung

Die Anwendung stoatchat in Versionen vor 0.7.8 weist eine kritische Sicherheitslücke auf. Das System versäumt es, Kontrollmechanismen bei der Benutzerregistrierung durchzusetzen. Dies ermöglicht Angreifern, unbegrenzte Accounts mit unverifizierten E-Mail-Adressen zu erstellen und dadurch erhebliche Sicherheitsrisiken zu schaffen.

Betroffene Systeme

• stoatchat < 0.7.8
• Alle Plattformen mit installierten betroffenen Versionen

Technische Details

Sicherheitslücke: Die fehlende Implementierung mehrerer Schutzmaßnahmen bei der Account-Erstellung führt zur Vulnerabilität:

• Invite-Only-Mode: Nicht erzwungen – Registrierung ist unrestriktiv möglich
• E-Mail-Verifizierung: Wird nicht validiert, unverarbeitete Adressen erlaubt
• CAPTCHA: Nicht implementiert oder deaktiviert
• Shield-Verifizierung: Sicherheitsprüfungen fehlen

Angriffsvektor: Netzwerk-basiert, remote ausnutzbar ohne Authentifizierung

Auswirkungen: Denial-of-Service (DoS) durch Ressourcenerschöpfung, Spam-Generierung, Reputationsschaden und Kompromittierung der Service-Integrität.

Empfohlene Massnahmen

1. Sofortig: Upgrade auf stoatchat Version 0.7.8 oder höher durchführen
2. Monitoring: Verdächtige Account-Erstellungsmuster überwachen und identifizieren
3. Konfiguration: Nach Update alle Sicherheitsfunktionen (CAPTCHA, E-Mail-Verifizierung) aktivieren
4. Admin-Review: Kürzlich erstellte Accounts auf Anomalien prüfen
5. Rate-Limiting: API-Endpunkte mit Drosselung schützen

Bewertung

CVSS-Score: 6.5 (Medium)

Priorität: Hoch – Sofortiges Handeln erforderlich

Status: Patch verfügbar – Version 0.7.8