Безопасная конфигурация nginx:

location /attachments/ {
  alias /etc/bitwarden/attachments/;
}

Небезопасная:

location /attachments {
  alias /etc/bitwarden/attachments/;
}

Обе выполняют одну и ту же функцию — говорят серверу, что при обращении к /attachments, нужно отдавать файлы из директории /etc/bitwarden/attachments.

Но во втором случае допущена ошибка (которая и была найдена в исходниках) — пропущен слэш на конце, в директиве location. Это приводит к Path Traversal и позволяет обратиться на директорию выше, в данном случае, в /etc/bitwarden.

А оттуда выйти в /logs


/attachments../logs/api.log
/attachments../logs/admin.log
/attachments../logs/identity.log
/attachments../logs/notifications.log

или в той же директории скачать базу данных со всеми паролями:
/attachments../vault.db

Shodan (> 8 000 инстансов): http.title:"Bitwarden Web Vault"

Баг был сдан на H1 за $6000, но встречается и сегодня у тех, кто забыл обновиться.

Один из участников DC8044 напечатал глок. Параллельно попалась новость, как в Швеции какие-то школьники уже во всю используют полноценные 3D-карабины с принтера для локальных пострелушек, причем вполне успешно

> Last year a new gang war broke out in Sweden. In the midst of a shoot out one guy was killed. He was armed with an 3D-printed FGC-9 firearm at the time of death. Police recovered his phone and discovered a group had been making FGC-9s en masse to sell, supplying the gang war.

Идут в ногу со временем