l3ster1337/poc-cve-2024-21542Preuve de concept d'exploit pour CVE-2024-21542 démontrant une écriture arbitraire de fichiers via Zip Slip dans le gestionnaire de pipelines Luigi. Génère des archives malveillantes pour écraser des fichiers en dehors du répertoire d'extraction.
luigi est un paquet qui vous aide à construire des pipelines complexes de travaux par lots. Il gère la résolution des dépendances, la gestion des workflows, la visualisation, la gestion des échecs, l'intégration en ligne de commande, et bien plus encore.
Les versions affectées de ce paquet sont vulnérables à l'écriture arbitraire de fichiers via l'extraction d'archive (Zip Slip) en raison d'une validation incorrecte du chemin de fichier de destination dans la fonction _extract_packages_archive.
Il est exploité en utilisant une archive zip spécialement conçue, contenant des noms de fichiers avec traversée de répertoire. Lorsqu'il est exploité, un nom de fichier dans une archive malveillante est concaténé au répertoire d'extraction cible, ce qui fait que le chemin final se retrouve en dehors du dossier cible. Par exemple, une archive zip peut contenir un fichier avec un emplacement "../../file.exe" et ainsi sortir du dossier cible. Si un exécutable ou un fichier de configuration est écrasé par un fichier contenant du code malveillant, le problème peut assez facilement se transformer en un problème d'exécution de code arbitraire.
Voici un exemple d'archive zip avec un fichier bénin et un fichier malveillant. L'extraction du fichier malveillant entraînera une traversée hors du dossier cible, aboutissant dans /root/.ssh/ et écrasant le fichier authorized_keys :
+2018-04-15 22:04:29 ..... 19 19 good.txt
+2018-04-15 22:04:42 ..... 20 20 ../../../../../../root/.ssh/authorized_keys
Créez un packages.tar malveillant
python3 xpl.py
Passez-le en argument pour luigi/contrib/lsf_runner.py
Vérifiez votre /tmp/fodac :)