आधिकारिक उदाहरण स्क्रिप्ट में पाथ ट्रैवर्सल जिससे मनमाना फ़ाइल लेखन संभव

सारांश

आधिकारिक उदाहरण स्क्रिप्ट examples/recursively_extract_attachments.py में एक पाथ ट्रैवर्सल भेद्यता है जो इच्छित आउटपुट निर्देशिका के बाहर मनमाना फ़ाइल लेखन की अनुमति देती है। पार्स किए गए ईमेल से निकाले गए अटैचमेंट फ़ाइलनाम सीधे बिना किसी सैनिटाइज़ेशन के आउटपुट फ़ाइल पथ बनाने के लिए उपयोग किए जाते हैं, जिससे हमलावर-नियंत्रित फ़ाइलनाम लक्ष्य निर्देशिका से बाहर निकल सकता है।

विवरण

फ़ाइल: examples/recursively_extract_attachments.py पंक्तियाँ: 61–64

for a in m['attachment']:
    out_filepath = out_path / a['filename']  # कोई सैनिटाइज़ेशन नहीं
    print(f'\tWriting attachment: {out_filepath}')
    with out_filepath.open('wb') as a_out:
        a_out.write(base64.b64decode(a['raw']))

मान a['filename'] क्राफ्टेड ईमेल अटैचमेंट हेडर के माध्यम से हमलावर-नियंत्रित होता है:

Content-Disposition: attachment; filename="../outside/pwned.txt"

लिखने से पहले कोई पाथ नॉर्मलाइज़ेशन या सीमा सत्यापन नहीं किया जाता है।

PoC

1. एक दुर्भावनापूर्ण .eml फ़ाइल बनाएं:

Content-Disposition: attachment; filename="../outside/pwned.txt"

2. उदाहरण स्क्रिप्ट चलाएं:

python recursively_extract_attachments.py -p ./emails -o ./safe

3. अपेक्षित: ./safe/pwned.txt
4. वास्तविक: ./outside/pwned.txt ← इच्छित निर्देशिका के बाहर लिखा गया

वर्चुअल एनवायरनमेंट में pip के माध्यम से स्थापित eml-parser के साथ Kali Linux पर सत्यापित किया गया।

प्रभाव

यह भेद्यता केवल उदाहरण स्क्रिप्ट तक सीमित है और कोर eml-parser लाइब्रेरी को प्रभावित नहीं करती है। हालाँकि, चूंकि यह स्क्रिप्ट आधिकारिक रिपॉजिटरी का हिस्सा है और उत्पादन उपयोग के लिए अनुकूलित किए जाने की संभावना है, एक हमलावर क्राफ्टेड ईमेल प्रदान करके निष्पादन संदर्भ के भीतर मनमाना फ़ाइल लेखन प्राप्त कर सकता है।

संभावित हमले के परिदृश्यों में शामिल हैं:

• क्रॉन जॉब इंजेक्शन: filename="../../etc/cron.d/backdoor"
• वेब शेल अपलोड: filename="../../var/www/html/shell.php"
• SSH कुंजी इंजेक्शन: filename="../../home/user/.ssh/authorized_keys"

अनुशंसित समाधान

import os.path

for a in m['attachment']:
    filename = os.path.basename(a['filename'])
    out_filepath = out_path / filename

    if not out_filepath.resolve().is_relative_to(out_path.resolve()):
        print(f'[!] Skipping suspicious filename: {a["filename"]}')
        continue

    print(f'\tWriting attachment: {out_filepath}')
    with out_filepath.open('wb') as a_out:
        a_out.write(base64.b64decode(a['raw']))