Community Trust ScoreVérifié
Le serveur BTCPay a fusionné un correctif le 19 octobre pour empêcher les clés API à portée de magasin étendue de satisfaire les vérifications de permissions à l’échelle du serveur ou du compte. Cette mise à jour, identifiée comme la demande de tirage (pull request) #7684, traite d’une lacune qui pourrait permettre à des identifiants disposant de permissions étendues pour un seul magasin d’accéder à des fonctions administratives plus larges. À la date du 26 octobre, la version 2.4.5 restait la dernière version listée dans la liste des publications du projet, et cette compilation n’inclut pas le correctif nouvellement fusionné.
Modifications des limites de permissions
Nicolas Dorier a fusionné le correctif dans la branche de développement principale du projet. La documentation d’authentification de BTCPay décrit les clés API comme des identifiants d’intégration restreints par deux limites distinctes : les permissions spécifiques qu’une application peut exercer et la portée du magasin dans laquelle ces permissions s’appliquent. La vulnérabilité existait dans un mécanisme de secours utilisé lorsqu’une requête n’avait pas de portée résolue. Précédemment, ce mécanisme de secours pouvait accepter une autorisation de n’importe quel magasin pour satisfaire les vérifications à l’échelle du serveur ou du compte. Le changement fusionné restreint ce mécanisme de secours de sorte que l’acceptation d’une autorisation de n’importe quel magasin n’est désormais permise que pour les permissions au niveau du magasin. Il ne satisfait plus les vérifications pour un accès à l’échelle du serveur ou du compte.
La demande de tirage inclut des tests de régression pour vérifier ces limites. Un test utilise une clé détenue par un administrateur avec des permissions illimitées, limitée à un seul magasin, et affirme que la clé doit se voir refuser l’accès aux rôles du serveur. Un autre test utilise la clé d’un utilisateur ordinaire avec des autorisations similaires à portée de magasin étendue et affirme que la clé doit se voir refuser la possibilité de supprimer le compte de cet utilisateur. Ces tests confirment qu’une autorité étendue sur les actions au sein d’un magasin ne se traduit pas par des pouvoirs administratifs au niveau du serveur, à condition que le rôle du propriétaire et les autorisations spécifiques soient correctement évalués.
Création de clés et statut de la publication
Le correctif modifie également la manière dont les requêtes de création de clés sont traitées pour empêcher un appel autorisé de produire un identifiant plus puissant que les propres autorisations de l’appelant. Le changement du contrôleur ajoute une vérification qui compare les permissions demandées aux autorisations existantes de l’appelant après que les exigences d’entrée sont remplies. Par exemple, un test ajouté affirme le rejet lorsqu’une clé d’administrateur, limitée à l’autorité sur les paramètres du serveur, demande une clé illimitée et sans portée. Les clés d’administrateur existantes sans portée conservent leur comportement actuel selon la description de la demande de tirage.
Les points d’accès de création de clés ont des exigences d’entrée distinctes. Le point d’accès d’auto-service exige une autorité illimitée sans portée de magasin, tandis que le point d’accès ciblant les utilisateurs de l’administrateur exige l’autorité de modification des paramètres du serveur. La demande de tirage publique ne signale pas d’exploitation confirmée, de marchands spécifiques affectés ou de pertes financières. La première version affectée du logiciel reste incertaine. La version 2.4.5, datée du 6 octobre, conserve la logique antérieure du gestionnaire d’autorisation et du contrôleur de clés que la demande de tirage modifie. La documentation de BTCPay recommande aux marchands de demander les permissions les plus étroites utiles pour leurs intégrations et de revoir les clés déléguées pour les autorisations étendues. Le prochain jalon concret de remédiation est la publication d’une version contenant la demande de tirage #7684, suivie de la confirmation que les compilations déployées incluent le correctif.
Questions Fréquentes
La version 2.4.5 du serveur BTCPay inclut-elle le correctif de clé API ?
Non. À la date du 26 octobre, la version 2.4.5 était la dernière version publiée et n’incluait pas le correctif de la demande de tirage #7684, qui a été fusionné dans la branche principale le 19 octobre.
Quelle lacune de permission spécifique le correctif a-t-il traitée ?
Le correctif a traité une lacune où les clés API avec des permissions étendues limitées à un seul magasin pouvaient satisfaire les vérifications de permissions à l’échelle du serveur ou du compte en raison d’un mécanisme de secours dans le gestionnaire d’autorisation.
