Rocket.Chat NoSQLi Token-Leak & Passwort-Reset

Ein automatisiertes Exploit-Skript für Rocket.Chat (und Meteor-basierte Anwendungen), das eine NoSQL-Injection über die $where-Klausel ausnutzt, um Passwort-Reset-Tokens durch serverseitige Ausnahmen preiszugeben. Sobald das Token geleakt ist, führt das Skript einen nicht authentifizierten Passwort-Reset durch.

Schwachstellenübersicht

1. Authentifizierung: Das Skript authentifiziert sich als normaler Benutzer, um Zugriff auf den Endpunkt /api/v1/users.list zu erhalten.

2. NoSQL-Injection: Es verwendet den query-Parameter, um eine $where-JavaScript-Klausel zu injizieren.

3. Datenextraktion: Durch die Verwendung der throw-Anweisung innerhalb der Injection wird der Server gezwungen, einen Fehler vom Typ "uncaught exception" zurückzugeben, der das Passwort-Reset-Token des Zielbenutzers enthält.

4. Kontoübernahme: Das Skript verwendet das geleakte Token, um resetPassword aufzurufen und das Passwort des Zielkontos zu ändern.

Verwendung

Voraussetzungen

• Python 3.x

• requests-Bibliothek

Bash

pip install requests

Ausführung

Bash

python3 exploit.py --url http://<TARGET_IP>:3000\
                   -u <YOUR_USER>\
                   -p <YOUR_PASS>\
                   -a <TARGET_ADMIN_USER>\
                   -ap <NEW_ADMIN_PASSWORD>

Befehlszeilenargumente

Exploit-Kette im Detail

Der Kern des Exploits ist die Injection-Zeichenfolge:

JavaScript

{"$where":"this.username==='admin' && (()=>{ throw this.services.password.reset.token })()"}

Wenn sie vom Server verarbeitet wird, führt die Datenbank-Engine die anonyme Funktion aus, stürzt beim throw ab, und die Anwendung fängt die Ausnahme ab, wobei sie unbeabsichtigt das geheime Token im JSON-Fehlerresponse an den Benutzer weitergibt.