CVE-2024-38819

01. File-Traversal और Webflux अवलोकन

1) File-Traversal और WebFlux अवलोकन

File-Traversal (पथ अन्वेषण, Path Traversal) भेद्यता एक ऐसी कमजोरी है जो हमलावर को वेब एप्लिकेशन में फ़ाइल सिस्टम की अनुमतियों को दरकिनार कर मनमानी फ़ाइलों तक पहुँचने की अनुमति देती है, और इसे CWE-22 नामक एक प्रकार के हमले के रूप में नामित किया गया है।

Spring WebFlux एक मॉड्यूल है जो Spring 5 में प्रस्तुत किया गया था और रिएक्टिव प्रोग्रामिंग का समर्थन करता है, जो एसिंक्रोनस नॉन-ब्लॉकिंग एप्लिकेशन विकास का समर्थन करता है, और WebFlux.fn फ़ंक्शनल एंडपॉइंट रूटिंग प्रदान करता है, जो लैम्ब्डा अभिव्यक्तियों के उपयोग से संक्षिप्त और लचीली रूटिंग कॉन्फ़िगरेशन का समर्थन करता है।

CVE-2024-38819 WebFlux.fn, WebMVC.fn का उपयोग करने वाले एप्लिकेशन में उत्पन्न होता है, और यह दस्तावेज़ देखता है कि यह भेद्यता WebFlux के आधार पर कैसे उत्पन्न होती है, कोड प्रवाह की जाँच करता है, और उसके अनुसार समाधान के उपाय तलाशता है।

02. Webflux 6.13 वातावरण में File-Traversal भेद्यता विश्लेषण

2.1 Webflux 6.13 का उपयोग कर File-Traversal विश्लेषण
Spring Webflux 6.13 में स्टैटिक रिसोर्स को सर्व करने के उदाहरण के माध्यम से File-Traversal हमला किया जा सकता है। उदाहरण की जाँच करके हम जानेंगे कि Spring Webflux का उपयोग करके File-Traversal कैसे उत्पन्न होता है।

[चित्र 1] Spring WebFlux में /static/** पर आने वाले सभी अनुरोधों को सर्वर की C:/file निर्देशिका में ढूँढकर सर्व करता है। यहाँ RouterFunctions.resources कॉल के दौरान [चित्र 2], [चित्र 3] webflux के PathResourceLookupFunction.class में समस्या शुरू होती है। [चित्र 2] PathResourceLookupFunction - apply Spring WebFlux में जाँचता है कि दिया गया पथ एक वैध संसाधन की ओर इंगित करता है या नहीं, और उस संसाधन को Mono के रूप में लौटाता है। इस प्रक्रिया में पथ मिलान, वैधता जाँच, पथ डिकोडिंग, संसाधन पहुँच आदि कई चरण शामिल हैं, जिनमें isInvalidPath फ़ंक्शन में भेद्यता उत्पन्न होती है। [चित्र 3] PathResourceLookupFunction - isInvalidPath में StringUtils.cleanPath(path).contains("../") शर्त मौजूद है, http://localhost:8080/static/file/../Windows/System32/drivers/etc/hosts अनुरोध करने पर यह शर्त True नहीं हो सकती। इसका कारण [चित्र 4] StringUtils.class - cleanPath में देखें तो StringUtils.cleanPath(path) TOP_PATH("..") को हटाने के बाद पथ को pathElements में डालता है और top 0 हो जाता है, इसलिए ".." एक बार डाला गया हमला वाक्यांश सामान्य वाक्यांश के रूप में संसाधित होता है। इस प्रकार [चित्र 3] का isInvalidPath फ़ंक्शन false लौटाता है। [चित्र 5] के isResourceUnderLocation के cleanPath कॉल के माध्यम से [चित्र 6] के cleanPath से एक और जाँच की जाती है और [चित्र 5] से भेजा गया पथ C:/file../Windows/System32/drivers/etc/hosts है। [चित्र 7] के कोड के माध्यम से prefix C:/ हो जाता है और पथ [चित्र 4] के माध्यम से / Windows/System32/drivers/etc/hosts में बदल जाता है, अंतिम रिटर्न C:/Windows/System32/drivers/etc/hosts के रूप में संसाधित होने का प्रवाह है।