CVE-2026-25964: रेसिपी आयात के माध्यम से प्रमाणित स्थानीय फ़ाइल प्रकटीकरण (LFD) मनमानी फ़ाइल पठन की ओर ले जाता है

सारांश

Tandoor Recipes के RecipeImport वर्कफ़्लो में एक अनुचित रूप से अधिकृत पाथ ट्रैवर्सल भेद्यता (CWE-22) आयात अनुमतियों वाले प्रमाणित उपयोगकर्ताओं को सर्वर पर मनमानी फ़ाइलें पढ़ने की अनुमति देती है। यह भेद्यता file_path पैरामीटर में इनपुट सत्यापन की कमी और Local स्टोरेज बैकएंड में अपर्याप्त जाँच के कारण उत्पन्न होती है, जिससे एक हमलावर स्टोरेज निर्देशिका प्रतिबंधों को बायपास कर सकता है और संवेदनशील सिस्टम फ़ाइलों (जैसे, /etc/passwd) या एप्लिकेशन कॉन्फ़िगरेशन फ़ाइलों (जैसे, settings.py) तक पहुँच सकता है, जिससे संभावित रूप से पूर्ण सिस्टम समझौता हो सकता है।

विवरण

यह भेद्यता एप्लिकेशन के इच्छित स्टोरेज रूट के विरुद्ध उपयोगकर्ता-आपूर्ति किए गए इनपुट को सत्यापित करने में विफलता के कारण मौजूद है।

1. अप्रतिबंधित फ़ाइल पथ इनपुट (CWE-73): /api/recipe-import/ एंडपॉइंट प्रमाणित उपयोगकर्ताओं को मनमाने file_path और storage बैकएंड के साथ एक RecipeImport ऑब्जेक्ट बनाने की अनुमति देता है। यह सुनिश्चित करने के लिए कोई सत्यापन नहीं किया जाता है कि file_path कॉन्फ़िगर किए गए स्टोरेज निर्देशिका के भीतर स्थित है।
2. स्टोरेज प्रदाता में पाथ ट्रैवर्सल (CWE-22): cookbook/provider/local.py में Local.get_file विधि फ़ाइल पुनर्प्राप्ति अनुरोध को संसाधित करती है:
   root@kitploit:~

   @staticmethod
   def get_file(recipe):
       # VULNERABILITY: Directly opens the path specified in recipe.file_path
       # without verifying it is within the storage root directory.
       file = io.BytesIO(open(recipe.file_path, 'rb').read())
       return file
   

   यह कार्यान्वयन रेसिपी ऑब्जेक्ट में संग्रहीत पथ पर आँख बंद करके भरोसा करता है, जिससे निरपेक्ष पथ (जैसे, /etc/passwd) या सापेक्ष पथ (जैसे, ../../app/config.py) खोले जा सकते हैं।

जब एक RecipeImport ऑब्जेक्ट को import_recipe क्रिया के माध्यम से Recipe में परिवर्तित किया जाता है, तो दुर्भावनापूर्ण पथ बना रहता है। get_recipe_file के लिए एक बाद का कॉल कमजोर पठन ऑपरेशन को ट्रिगर करता है, जो फ़ाइल सामग्री को उपयोगकर्ता को लौटाता है।

PoC

पूर्वापेक्षाएँ: रेसिपी आयात करने की अनुमति वाला एक प्रमाणित उपयोगकर्ता खाता। डिफ़ॉल्ट रूप से, यह अनुमति प्रतिबंधित हो सकती है, लेकिन यदि निम्न-विशेषाधिकार वाली भूमिकाओं को दी जाती है, तो प्रभाव काफी बढ़ जाता है। यहाँ तक कि व्यवस्थापकों के लिए भी, यह एक सुरक्षा सीमा उल्लंघन का प्रतिनिधित्व करता है क्योंकि एप्लिकेशन-स्तरीय अनुमतियों को फ़ाइलसिस्टम-स्तरीय पठन पहुँच प्रदान नहीं करनी चाहिए।

चरण 1: एक दुर्भावनापूर्ण आयात ऑब्जेक्ट बनाएँ लक्ष्य फ़ाइल (जैसे, /etc/passwd) की ओर इशारा करते हुए एक RecipeImport ऑब्जेक्ट बनाने के लिए एक POST अनुरोध भेजें।

(नोट: storage: 1 आमतौर पर डिफ़ॉल्ट स्थानीय स्टोरेज से मेल खाता है। आवश्यकता पड़ने पर समायोजित करें।)

चरण 2: आयात को रेसिपी में परिवर्तित करें एक स्थायी Recipe ऑब्जेक्ट बनाने के लिए आयात प्रक्रिया को ट्रिगर करें। चरण 1 से लौटाए गए import_id (जैसे, 4) पर ध्यान दें।

(<IMPORT_ID> को चरण 1 प्रतिक्रिया से ID से बदलें। यह अनुरोध नया recipe_id (जैसे, 34) लौटाएगा)

चरण 3: मनमानी फ़ाइल डाउनलोड करें चरण 2 से लौटाए गए नए रेसिपी id (जैसे, 34) का उपयोग करके रेसिपी फ़ाइल एंडपॉइंट के माध्यम से फ़ाइल तक पहुँचें।

परिणाम: सर्वर /etc/passwd की सामग्री लौटाता है, जो LFD भेद्यता की पुष्टि करता है।

प्रभाव

• भेद्यता प्रकार: पाथ ट्रैवर्सल (CWE-22), फ़ाइल नाम या पथ का बाहरी नियंत्रण (CWE-73)।
• गंभीरता: उच्च।
• परिणाम:
  1. सिस्टम समझौता: /etc/passwd पढ़ने की क्षमता सिस्टम उपयोगकर्ताओं की गणना की अनुमति देती है।
  2. एप्लिकेशन रहस्य प्रकटीकरण: एक हमलावर प्रमाणित कॉन्फ़िगरेशन फ़ाइलें जैसे /opt/recipes/recipes/settings.py (परीक्षण में पुष्टि की गई) या .env पढ़ सकता है। यह SECRET_KEY (सत्र जालसाजी की अनुमति देता है) और डेटाबेस क्रेडेंशियल (सीधे डेटाबेस एक्सेस की अनुमति देता है) को उजागर करता है।
  3. स्रोत कोड रिसाव: एप्लिकेशन स्रोत कोड का एक्सपोज़र "अस्पष्टता के माध्यम से सुरक्षा" रक्षा को सीमित करता है और आगे की भेद्यताएँ खोजने में सहायता करता है।