CVE-2023-49438

Proof of Concept

Beschreibung

Eine offene Weiterleitungs-Sicherheitslücke im Python-Paket Flask-Security-Too <= Version 5.3.2 erlaubt es Angreifern, ahnungslose Benutzer durch Missbrauch des ?next-Parameters auf den Routen /login und /register auf bösartige Websites umzuleiten.

Hintergrund

Flask-Security-Too enthält eine Logik zur Validierung, dass die im next-Parameter angegebene URL entweder relativ ist oder denselben Netzwerkstandort wie die anfragende URL hat. Dies dient dazu, offene Weiterleitungen zu verhindern.

Das Python-Paket Flask-Security-Too wurde zuvor als anfällig für eine Umgehung der vorhandenen Validierungslogik befunden, und Version 4.1.0 behob die zuvor bekannten Beispiele wie https://example/login?next=\\\github.com

Allerdings wurde ein Workaround entdeckt, der darauf beruht, wie Webbrowser Schrägstriche in URLs normalisieren, wodurch das Paket bis einschließlich Version 5.3.2 verwundbar bleibt.

Beispiele

https://example/login?next=/\github.com

https://example/login?next=\/github.com

Auswirkungen

Zuvor wurde in CVE-2021-32618 festgestellt, dass „wenn Werkzeug verwendet wird (was bei Flask-Anwendungen sehr üblich ist) als WSGI-Schicht, es standardmäßig IMMER sicherstellt, dass der Location-Header absolut ist – wodurch dieser Angriffsvektor wirkungslos wird."

Allerdings wurde mit Werkzeug >=2.1.0 die Konfiguration autocorrect_location_header auf False geändert – was bedeutet, dass Location-Header in Weiterleitungen standardmäßig relativ sind. Daher kann dieses Problem Anwendungen betreffen, die zuvor nicht betroffen waren, wenn sie Werkzeug >=2.1.0 als WSGI-Schicht verwenden.

Abhilfemaßnahmen

1. Aktualisieren Sie auf Flask-Security-Too 5.3.3

pip install -U Flask-Security-Too

ODER

2. Fügen Sie diese Konfigurationsoptionen zu Ihrer App hinzu (mildert alle derzeit bekannten Beispiele):

app.config['SECURITY_REDIRECT_VALIDATE_MODE'] = "regex"
app.config['SECURITY_REDIRECT_VALIDATE_RE'] = r"^/{4,}|\\{3,}|[\s\000-\037][/\\]{2,}(?![/\\])|[/\\](https://github.com/brandon-t-elliott/cve-2023-49438/blob/HEAD/%5B%5E/%5C%5C%5D%7C/%5B%5E/%5C%5C%5D)*[/\\].*"

ODER

3. Wenn Werkzeug >=2.1.0 verwendet wird, stellen Sie manuell sicher, dass autocorrect_location_header auf True gesetzt ist:

@app.after_request
def fix_location_header(response):
    response.autocorrect_location_header = True

    return response

CVE-Referenz

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-49438

https://nvd.nist.gov/vuln/detail/CVE-2023-49438

Danksagung

Workaround entdeckt von Brandon T. Elliott, November 2023