CVE-2021-21315-systeminformation

Dies ist ein Proof of Concept für CVE-2021-21315, das die Systeminformation-Bibliothek für Node.JS (npm-Paket "systeminformation") betrifft. npmjs.com/systeminformation

"Stellen Sie sicher, dass Sie Dienstparameter, die an si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() übergeben werden, überprüfen oder bereinigen ... erlauben Sie nur Zeichenfolgen, lehnen Sie Arrays ab. Die Zeichenfolgenbereinigung funktioniert wie erwartet."

Da es sich meiner Meinung nach um eine nicht gut erklärte Sicherheitslücke handelt, habe ich beschlossen, eine kleine App zu programmieren, die auf einer anfälligen Version von systeminformation basiert. Das PoC enthält:

1. Eine Test-App, erstellt in Node.js, unter Verwendung von Express und anfälligem systeminformation
2. Einfache Test-Payload zum Erstellen einer .txt-Datei auf dem betroffenen Rechner

Schritte zur Reproduktion:

1. Führen Sie die Anwendung in einer Linux-Server-Umgebung aus
2. Senden Sie eine GET-Anfrage an site.com/api/getServices?name=nginx (nginx ist nur ein Beispiel)
3. Versuchen Sie nun, eine Anfrage wie diese zu senden: yoursite.com/api/getServices?name=$(echo -e 'Sekurak' > pwn.txt)

Dies wird fehlschlagen, wegen der Zeichenfolgenbereinigung:

Wie in den CVE-Details angegeben, funktioniert die Bereinigung wie erwartet, lehne Arrays ab [...]

4. Versuchen Sie nun, eine Anfrage zu senden: yoursite.com/api/getServices?name[]=$(echo -e 'Sekurak' > pwn.txt) Diesmal, wenn Sie sich den Wert von "name" ansehen, wurde er nicht bereinigt - Erfolg! Mal sehen, ob der Befehl ausgeführt wurde