Marzban パネルの権限検証欠落により未認可の操作と権限を越えたデータ漏洩に至る
本脆弱性は中核となる業務経路への認証ミドルウェアの設定欠落に起因します。複数の重要なインターフェースに管理者身元の依存項目が注入されておらず、攻撃者は基本的なセッション検証を回避して HTTP 要求を直接組み立て、状態変更の処理を発火させられます。悪用の経路には、認証を経ないプラン有効化端点の呼び出し、上位管理者トークンの失効機構の欠陥、利用者情報照会経路における認可の空白が含まれます。悪意ある実体は操作を要さずに対象のトラフィック割当を一括で初期化し、無効化済みのアカウントを静かに復活させ、あるいは完全なプロキシ資格情報の設定を抽出できます。影響を受けたシステムは中核の業務規則を強制的に上書きされる危険に晒され、不正な主体が長期に有効な最上位の管理権限を取得して大規模な購読資格情報の平文露出を招き、サービス全体の信頼連鎖とデータ境界の完全性が破壊されます。
コンポーネント
Marzban は仮想ノード管理とプロキシトラフィック配分のためのオープンソースのパネルです。アーキテクチャは FastAPI フレームワークと非同期データベース連携を組み合わせ、中核機能は利用者のライフサイクル管理、購読リンクの生成、トラフィック割当の制御、背後の Xray インスタンス同期を含み…
種別
Missing Authorization (CWE-862)
リポジトリ
github.com/Gozargah/Marzban
· Star 7050
対処方法
- 経路定義の層で強制的な身元依存の注入機構を統一的に導入し、状態変更とデータ読み取りに関わるすべての端点が厳格な文脈権限の検証を経るようにすることを推奨します。あわせてトークン検証の処理を再構築して特権アカウントの早期戻りの近道を排除し、データベースの最新の安全状態を強制的に同期させ、論理分岐の誤判定を防ぐため真偽値演算子の優先順位について静的コードレビューを行ってください。
