情報漏洩はどのように起きたのか

評価によると、PUT /v1/staff/offsets はオーナーによる制限なしにあらゆるスタッフトークンを受け付け、監査記録も残さなかったと報告されています。1回のリクエストで、全ユーザーのエグゼキューターが依存するオフセットが置き換えられました。テストでは、オフセットの合計が1回の呼び出しで401から1になり、プレビューも確認も承認もありませんでした。

GET /v1/staff/tickets/{id}/transcript は、所有者の確認なしに連番の整数でどのチケットも返すと報告されており、Discord ユーザー ID や添付ファイルを含む非公開のやり取りの全文が見える状態でした。

DELETE /v1/scripts/delete は、所有者の確認なしにスタッフトークンで成功を返したと報告されており、論理削除も監査記録もないまま、ID を指定してどのスクリプトでも削除できる状態でした。

評価は、ユーザーテーブル全体の13,483件を、25秒間に135回のリクエストで取得でき、レート制限の応答は一度もなかったと報告しています。

オフセット、実行、ストライク、ゲームの切り替え、最大プレイヤー数、AI レビュー設定、モデレーション情報、チャットのミュートは、いずれもベアラートークンだけで受け付けると報告されており、盗まれたセッションに第二要素は不要です。

トークンはちょうど30日間有効で、更新用のエンドポイントはないと報告されています。また、1回の操作で全セッションを失効させられる authVersion フィールドは返されるものの、サーバー側では強制されていません。

Exoliner の検出回避ルールを保持するモデレーション情報のエンドポイントは、どのスタッフアカウントからの作成と削除も受け付けると報告されており、これらのルールが無効化または破損されるおそれがありました。

チャット監査のエンドポイントは、削除された非公開メッセージを、メッセージ本文、宛先ユーザー ID、削除したスタッフとともに、あらゆるスタッフに全文表示すると報告されています。

スタッフ向けのエンドポイントは、収益の推定値、ランク別の正確な分布、Discord ID、モデレーションログ全体、プレイス単位のレイテンシとサーバー数を漏らすと報告されています。

フロントエンドのポリシーは、nonce なしで unsafe-inline と unsafe-eval を許可すると報告されており、クロスサイトスクリプティングの欠陥が一つでもあれば、ローカルストレージからスタッフのセッションを読み取られるおそれがあります。

ユーザー用エンドポイントのすべての検索パラメータが無視され、常に絞り込まれていない最初のページが返されると報告されています。そのため、スタッフが誤ったアカウントを操作している可能性があります。

認証不要のヘルスチェックと統計のエンドポイントは、稼働時間とリアルタイムの合計値を漏らすと報告されています。また、404 の本文が一律であることから、ルート一覧を列挙できます。

文字列以外の入力が、複数のエンドポイントで未処理の500エラーを引き起こすと報告されています。エラー本文には余計な情報が含まれないため、情報漏えいというよりは信頼性の問題と読めます。

二つのホスト名が、同じプロセスから同一のルートと認可を提供していると報告されており、攻撃対象領域が倍になるほか、ホスト単位の許可リストがもう一方のホスト名経由で回避できてしまいます。