CVE-2022-33171: TypeORM SQL-Injection

Hinweis: Dies ist eine laufende Analyse von CVE-2022-33171. Die hier bereitgestellten Details können aktualisiert werden, sobald weitere Informationen verfügbar sind.derzeit nicht funktionsfähig

Details zur Schwachstelle

CVE-ID: CVE-2022-33171
Produkt: TypeORM
Betroffene Versionen: < 0.3.0
Schwachstellentyp: SQL-Injection
Offenlegungsdatum: 28. Juni 2022

Beschreibung

Die Funktionen findOne(id) und findOneOrFail(id) in TypeORM vor Version 0.3.0 können entweder mit einem String oder einem FindOneOptions-Objekt versorgt werden. Wenn die Eingabe an diese Funktion ein vom Benutzer kontrolliertes, geparstes JSON-Objekt ist, führt die Bereitstellung eines manipulierten FindOneOptions-Objekts anstelle eines ID-Strings zu SQL-Injection.

Grundursache

Die Schwachstelle besteht, weil:

1. Die Funktion findOne() akzeptiert flexible Eingabetypen (String oder FindOneOptions-Objekt)
2. Wenn Benutzereingaben als JSON geparst und direkt an die Funktion übergeben werden, kann ein Angreifer ein bösartiges FindOneOptions-Objekt bereitstellen
3. Die resultierende SQL-Abfrage übernimmt die vom Angreifer kontrollierten Objekteigenschaften ohne ordnungsgemäße Bereinigung

Antwort der Maintainer

Die TypeORM-Maintainer erklärten, dass die Grundursache eine unzureichende Eingabevalidierung auf Anwendungsseite sei, nicht die Bibliothek selbst. Allerdings ist diese Funktion ausdrücklich dafür ausgelegt, Benutzereingaben zu akzeptieren, wodurch das Argument vertretbar ist, dass die Bibliothek dies sicher handhaben sollte.

Auswirkungen

• Schweregrad: Hoch
• SQL-Injection: Angreifer können beliebige SQL-Abfragen ausführen
• Datenextraktion: Unautorisierter Zugriff auf sensible Daten
• Datenmanipulation: Potenzielle Änderung oder Löschung von Daten
• Denial of Service: Erschöpfung von Datenbankressourcen durch aufwendige Abfragen

Behebung

Aktualisieren Sie auf TypeORM 0.3.0 oder höher, das Korrekturen für diese Schwachstelle enthält.

Zeitleiste

• 28. Juni 2022: Schwachstelle auf der Full-Disclosure-Mailingliste offengelegt
• Vor 0.3.0: Schwachstelle war vorhanden
• 0.3.0+: Schwachstelle von den TypeORM-Maintainern behoben

Referenzen

• CVE-2022-33171
• Seclists