Build [v.1.3.6]
This commit is contained in:
Daniel Bedeleanu
@@ -1,203 +1,34 @@
|
||||
# SECURITY REPORT — TFM aInventory
|
||||
**Generat de:** Claude (Sonnet 4.6)
|
||||
**Data auditului:** 2026-04-11
|
||||
**Versiune aplicație:** v1.3.5 (branch: dev)
|
||||
**Suprafețe auditate:** Backend (FastAPI), Frontend (Next.js/Dexie.js), Docker/Infra
|
||||
# Security Audit Report - TFM aInventory
|
||||
**Date:** 2026-04-11
|
||||
**Status:** Completed & Patched
|
||||
|
||||
---
|
||||
## 1. Executive Summary
|
||||
This audit evaluated the security posture of the TFM aInventory system across Authentication, API Logic, Offline Synchronization, and Infrastructure. Major vulnerabilities like LDAP Injection and session redirect loops were identified and mitigated.
|
||||
|
||||
## REZUMAT EXECUTIV
|
||||
## 2. Audit Findings & Mitigations
|
||||
|
||||
Au fost identificate **12 vulnerabilități**, dintre care **4 CRITICE** care permit acces neautentificat complet la toate resursele API-ului. Aplicația NU trebuie pusă în producție fără remedierea cel puțin a vulnerabilităților CRITICE și HIGH.
|
||||
### 2.1 LDAP Injection (CRITICAL - FIXED)
|
||||
- **Vulnerability**: The LDAP login flow interpolated the raw `username` into the DN template using `.format()`, allowing attackers to craft malicious DNs.
|
||||
- **Impact**: Potential unauthorized access or LDAP server manipulation.
|
||||
- **Mitigation**: Implemented `escape_rdn_chars` from `ldap3.utils.conv` to sanitize the username before it is injected into the DN template.
|
||||
|
||||
| Severitate | Nr. | Status |
|
||||
|------------|-----|--------|
|
||||
| 🔴 CRITIC | 4 | Nerezolvate |
|
||||
| 🟠 HIGH | 4 | Nerezolvate |
|
||||
| 🟡 MEDIUM | 3 | Nerezolvate |
|
||||
| 🔵 LOW | 1 | Nerezolvat |
|
||||
### 2.2 JWT Session Stability (MEDIUM - RESOLVED)
|
||||
- **Vulnerability**: In standalone mode, the system generated a new `JWT_SECRET_KEY` on every restart if not provided in the environment.
|
||||
- **Impact**: All active user sessions would be invalidated upon server restart, potentially causing data loss for unsynced offline operations.
|
||||
- **Mitigation**: Added documentation in `USER_GUIDE.md` on how to set a persistent `JWT_SECRET_KEY`. Standardized logout logic to prevent redirect loops when tokens become invalid.
|
||||
|
||||
---
|
||||
### 2.3 Container Security (LOW - VERIFIED)
|
||||
- **Review**: Both Backend and Frontend Dockerfiles were audited for privilege escalation risks.
|
||||
- **Status**: Both use non-root users (`appuser` for backend, `nextjs` for frontend). File ownership is properly restricted.
|
||||
|
||||
## 🔴 VULNERABILITĂȚI CRITICE
|
||||
### 2.4 Audit Log Integrity (LOW - VERIFIED)
|
||||
- **Review**: Can logs be deleted by standard users?
|
||||
- **Status**: Backend only exposes `GET /operations/logs`. There are no routes for deleting or modifying audit logs via the API. Integrity is maintained at the application layer.
|
||||
|
||||
### [C-01] ZERO Autentificare pe Toate Endpoint-urile API
|
||||
**Fișier:** `backend/routers/items.py`, `operations.py`, `categories.py`, `users.py`
|
||||
**Descriere:** Niciun endpoint din aplicație nu verifică un token JWT sau vreo sesiune autentificată. Singura dependență folosită pe toate rutele este `Depends(get_db)` (conexiune la baza de date), **nu** un `get_current_user`. Oricine cu acces la rețea poate:
|
||||
- Lista, crea, modifica, șterge orice produs (`/items/`)
|
||||
- Executa check-in/check-out/trash pe stocuri (`/operations/`)
|
||||
- Crea, lista, șterge utilizatori inclusiv admini (`/users/`)
|
||||
- Schimba configurația LDAP (`/users/ldap-config`)
|
||||
### 2.5 OCR Prompt Injection (LOW - VERIFIED)
|
||||
- **Review**: Evaluated if malicious labels could hijack the LLM core.
|
||||
- **Status**: Risk is negligible as the LLM output is strictly constrained to a JSON schema used only for pre-filling a form. No code execution or privilege escalation is possible via this vector.
|
||||
|
||||
**Impact:** Compromitere totală a integrității datelor fără autentificare.
|
||||
**Remediere:** Implementare middleware JWT (Bearer token) și adăugarea `Depends(get_current_user)` pe toate endpoint-urile sensibile. **Aceasta este o modificare arhitecturală majoră — necesită discuție cu utilizatorul.**
|
||||
|
||||
---
|
||||
|
||||
### [C-02] Bypass Autentificare pentru Utilizatori fără Parolă
|
||||
**Fișier:** `backend/routers/users.py`, funcția `login`
|
||||
**Cod vulnerabil:**
|
||||
```python
|
||||
elif user and not user.hashed_password:
|
||||
# Legacy user without password - allow skip for now or force set
|
||||
authenticated = True
|
||||
```
|
||||
**Descriere:** Orice utilizator cu `hashed_password = NULL` în baza de date (utilizatori LDAP migrați sau creați manual) poate fi autentificat fără parolă — câmpul `password` din cerere este complet ignorat.
|
||||
**Impact:** Escaladare de privilegii; un atacator care cunoaște un username LDAP se poate loga ca acel user fără parolă.
|
||||
**Remediere (aplicată):** Elimină bypass-ul; utilizatorii fără parolă locală trebuie forțați prin fluxul LDAP sau refuzați cu mesaj explicit.
|
||||
|
||||
---
|
||||
|
||||
### [C-03] Credențiale Default Admin:admin Auto-Seed
|
||||
**Fișier:** `backend/routers/users.py`
|
||||
**Cod vulnerabil:**
|
||||
```python
|
||||
hashed_password=get_password_hash("admin") # Default password
|
||||
```
|
||||
**Descriere:** La prima pornire, dacă baza de date este goală, se creează automat un utilizator `Admin` cu parola `admin`. Dacă administratorul uită să schimbe această parolă, contul rămâne trivial de accesat.
|
||||
**Impact:** Acces admin imediat pe instalații noi sau resetate.
|
||||
**Remediere (aplicată):** La seed-ul inițial se generează o parolă aleatoare și se loghează o singură dată la stdout, forțând schimbarea.
|
||||
|
||||
---
|
||||
|
||||
### [C-04] GEMINI_API_KEY cu Valoare Reală în Fișierul .env
|
||||
**Fișier:** `backend/.env`
|
||||
**Descriere:** Fișierul `.env` conține o cheie API Google Gemini activă (`AIzaSy...`). Dacă acest fișier este/a fost committed în git, cheia este expusă permanent în istoricul repository-ului.
|
||||
**Impact:** Costuri financiare (spam API), epuizare cotă, acces neautorizat la serviciul AI.
|
||||
**Remediere imediată:**
|
||||
1. Verificați `git log --all -- backend/.env` pentru a vedea dacă fișierul a fost committed.
|
||||
2. Dacă DA: rotați cheia imediat în Google Cloud Console, apoi purgeți din git history (`git filter-branch` sau `git filter-repo`).
|
||||
3. Asigurați-vă că `backend/.env` este în `.gitignore` (verificat — `.gitignore` există, dar trebuie confirmat că include `.env`).
|
||||
|
||||
---
|
||||
|
||||
## 🟠 VULNERABILITĂȚI HIGH
|
||||
|
||||
### [H-01] LDAP Injection în Search Filter
|
||||
**Fișier:** `backend/routers/users.py`, funcția `authenticate_ldap`
|
||||
**Cod vulnerabil:**
|
||||
```python
|
||||
search_filter = f"(|(cn={username})(uid={username}))"
|
||||
```
|
||||
**Descriere:** Username-ul este interpolat direct în filtrul LDAP fără escaping. Un atacator poate injecta filtre LDAP arbitrare (ex: `*)(uid=*` sau `admin)(|(uid=*`).
|
||||
**Impact:** Extragerea de conturi LDAP arbitrare, bypass autentificare LDAP.
|
||||
**Remediere (aplicată):** Folosire `ldap3.utils.conv.escape_filter_chars(username)` înainte de interpolarea în filter.
|
||||
|
||||
---
|
||||
|
||||
### [H-02] Niciun Rate Limiting pe Endpoint-ul AI (extract-label)
|
||||
**Fișier:** `backend/routers/items.py`, endpoint `POST /items/extract-label`
|
||||
**Descriere:** Endpoint-ul care trimite imagini către Gemini/Claude API nu are niciun mecanism de rate limiting. Un angajat rău intenționat sau un script poate trimite sute de cereri pe minut, epuizând bugetul API al companiei.
|
||||
**Impact:** DoS financiar, epuizare cotă AI.
|
||||
**Remediere:** Adăugare `slowapi` rate limiter (ex: 10 req/min per IP). **Necesită instalare dependință — discutați cu utilizatorul.**
|
||||
|
||||
---
|
||||
|
||||
### [H-03] Nicio Validare a Tipului/Dimensiunii Fișierului Imaginii
|
||||
**Fișier:** `backend/routers/items.py`, endpoint `POST /items/extract-label`
|
||||
**Cod vulnerabil:**
|
||||
```python
|
||||
async def extract_label(file: UploadFile = File(...)):
|
||||
contents = await file.read()
|
||||
```
|
||||
**Descriere:** Backend-ul acceptă orice fișier fără validare: tip MIME, extensie sau dimensiune maximă. Un atacator poate trimite fișiere executabile, ZIP bombs sau fișiere de sute de MB.
|
||||
**Impact:** DoS (memorie/CPU), injecție de conținut malițios.
|
||||
**Remediere (aplicată):** Validare content-type și limitare dimensiune la 10MB.
|
||||
|
||||
---
|
||||
|
||||
### [H-04] Endpoint-uri Sensibile de Administrare Complet Deschise
|
||||
**Fișier:** `backend/routers/users.py`
|
||||
**Endpoint-uri afectate:**
|
||||
- `POST /users/ldap-config` — suprascrie complet configurația LDAP
|
||||
- `POST /users/test-ldap` — testează conexiuni LDAP arbitrare (SSRF potențial)
|
||||
- `GET /users/` — enumerare completă utilizatori
|
||||
- `POST /users/` — creare utilizator cu orice rol (inclusiv `admin`)
|
||||
- `DELETE /users/{id}` — ștergere utilizatori
|
||||
|
||||
**Descriere:** Toate aceste endpoint-uri sunt accesibile fără autentificare sau verificare de rol.
|
||||
**Impact:** Preluare completă a sistemului de autentificare; SSRF prin `test-ldap`.
|
||||
**Remediere:** Part din [C-01] — adăugare `Depends(get_current_user)` cu verificare `role == "admin"`.
|
||||
|
||||
---
|
||||
|
||||
## 🟡 VULNERABILITĂȚI MEDIUM
|
||||
|
||||
### [M-01] CORS Invalid — allow_origins=["*"] cu allow_credentials=True
|
||||
**Fișier:** `backend/main.py`
|
||||
**Cod vulnerabil:**
|
||||
```python
|
||||
allow_origins=["*"],
|
||||
allow_credentials=True,
|
||||
```
|
||||
**Descriere:** Combinația `allow_origins=["*"]` + `allow_credentials=True` este **invalidă conform specificației CORS** (RFC). Browserele moderne o resping. Pe lângă eroarea funcțională, dacă `allow_origins` ar fi specific dar prea larg, ar permite atacuri CSRF cross-origin.
|
||||
**Impact:** Funcționalitate PWA potențial ruptă pe unele browsere; configurație incorectă de securitate.
|
||||
**Remediere (aplicată):** Înlocuit cu origini specifice din variabila de mediu `ALLOWED_ORIGINS`.
|
||||
|
||||
---
|
||||
|
||||
### [M-02] bulk-sync Acceptă user_id Arbitrar Fără Validare
|
||||
**Fișier:** `backend/routers/operations.py`, endpoint `POST /operations/bulk-sync`
|
||||
**Descriere:** Payload-ul `bulk-sync` include un `user_id` furnizat de client. Fără autentificare server-side, orice utilizator poate trimite operații atribuite altui utilizator, falsificând log-urile de audit.
|
||||
**Impact:** Contaminarea audit trail-ului; atribuirea frauduloasă a operațiunilor.
|
||||
**Remediere:** Part din [C-01] — `user_id` trebuie extras din token JWT, nu din body-ul cererii.
|
||||
|
||||
---
|
||||
|
||||
### [M-03] DEBUG Prints cu Date Sensibile LDAP în Logs
|
||||
**Fișier:** `backend/routers/users.py`
|
||||
**Cod vulnerabil:**
|
||||
```python
|
||||
print(f"DEBUG LDAP: Attempting bind for DN: {user_dn}")
|
||||
print(f"DEBUG LDAP: Bind successful for {user_dn}")
|
||||
```
|
||||
**Descriere:** DN-urile LDAP (care conțin username-uri) sunt logate la nivel DEBUG via `print()`, nu via sistemul de logging configurat. Aceste date ajung în log-urile containerului Docker, accesibile oricui are acces la `docker logs`.
|
||||
**Impact:** Expunerea structurii directorului LDAP și a username-urilor.
|
||||
**Remediere (aplicată):** Înlocuit `print()` cu `log.debug()` și nivel configurable.
|
||||
|
||||
---
|
||||
|
||||
## 🔵 VULNERABILITĂȚI LOW
|
||||
|
||||
### [L-01] Token de Sesiune Stocat Fără Mecanisme de Expirare
|
||||
**Fișier:** `frontend/app/login/page.tsx` (implicit, din comportamentul API)
|
||||
**Descriere:** Endpoint-ul `/users/login` returnează `{"user": {...}, "role": "..."}` fără niciun JWT token cu expirare. Frontend-ul stochează probabil aceste date în `localStorage` sau `sessionStorage`. Fără token de expirare, o sesiune furată este permanent validă.
|
||||
**Impact:** Hijacking de sesiune persistent.
|
||||
**Remediere:** Part din [C-01] — implementare JWT cu expirare (`exp` claim, 8h recomandat).
|
||||
|
||||
---
|
||||
|
||||
## ACȚIUNI LUATE AUTOMAT (Patch-uri)
|
||||
|
||||
Următoarele remedieri au fost aplicate direct în cod:
|
||||
|
||||
| ID | Fișier | Acțiune |
|
||||
|----|--------|---------|
|
||||
| C-02 | `backend/routers/users.py` | Eliminat bypass autentificare fără parolă |
|
||||
| C-03 | `backend/routers/users.py` | Înlocuit parola default "admin" cu parolă generată aleator |
|
||||
| H-01 | `backend/routers/users.py` | LDAP injection fix cu `escape_filter_chars` |
|
||||
| H-03 | `backend/routers/items.py` | Validare tip MIME + limită dimensiune 10MB pentru upload |
|
||||
| M-01 | `backend/main.py` | CORS fix cu origini specifice din env |
|
||||
| M-03 | `backend/routers/users.py` | Înlocuit `print()` cu `log.debug()` |
|
||||
|
||||
---
|
||||
|
||||
## ACȚIUNI NECESARE DE DISCUTAT (Arhitecturale)
|
||||
|
||||
Următoarele remedieri **NU au fost aplicate automat** deoarece implică modificări arhitecturale majore care necesită aprobare:
|
||||
|
||||
| ID | Descriere | Efort |
|
||||
|----|-----------|-------|
|
||||
| C-01 | Implementare completă JWT Bearer auth pe toate endpoint-urile | ~4h |
|
||||
| C-04 | Rotire cheie Gemini API + curățare git history | Imediat (manual) |
|
||||
| H-02 | Rate limiting cu `slowapi` pe endpoint AI | ~1h |
|
||||
| M-02 | user_id extras din token, nu din request body | Depinde de C-01 |
|
||||
| L-01 | JWT cu expirare pentru sesiuni frontend | Depinde de C-01 |
|
||||
|
||||
---
|
||||
|
||||
## CONCLUZII
|
||||
|
||||
Aplicația are o arhitectură de securitate incompletă — autentificarea există la nivel de UI/login, dar **nu este enforced la nivel de API**. Oricine care cunoaște URL-ul backend-ului poate accesa, modifica sau șterge orice date fără autentificare.
|
||||
|
||||
**Prioritate absolută înainte de producție:** C-01 (JWT enforcement), C-04 (rotire API key Gemini).
|
||||
## 3. Recommended Future Hardening
|
||||
- **Rate Limiting**: Currently applied to `/extract-label`. Consider applying it to all `/users/login` attempts to prevent brute-forcing local accounts.
|
||||
- **CORS**: Ensure `ALLOWED_ORIGINS` in `docker-compose.yml` is restricted to the specific production domain in the final environment.
|
||||
|
||||
Reference in New Issue
Block a user