CVE-2023-49438

Prova di concetto

Descrizione

Una vulnerabilità di open redirect nel pacchetto Python Flask-Security-Too <=versione 5.3.2 consente agli aggressori di reindirizzare utenti ignari verso siti malevoli tramite un URL appositamente creato, abusando del parametro ?next nelle route /login e /register.

Contesto

Flask-Security-Too contiene una logica per convalidare che l'URL specificato nel parametro next sia relativo o abbia la stessa posizione di rete dell'URL di richiesta. Questo meccanismo è implementato nel tentativo di prevenire reindirizzamenti aperti.

Il pacchetto Python Flask-Security-Too era stato precedentemente trovato vulnerabile a un bypass della logica di convalida esistente, e la versione 4.1.0 ha corretto gli esempi precedentemente noti come https://example/login?next=\\\github.com.

Tuttavia, è stata scoperta una soluzione alternativa a causa del modo in cui i browser web normalizzano le barre negli URL, rendendo il pacchetto vulnerabile fino alla versione <=5.3.2.

Esempi

https://example/login?next=/\github.com

https://example/login?next=\/github.com

Impatto

In precedenza era stato notato in CVE-2021-32618 che "se Werkzeug viene utilizzato (cosa molto comune con le applicazioni Flask) come livello WSGI, di default ASSICURA sempre che l'intestazione Location sia assoluta, rendendo quindi questo vettore di attacco muto."

Tuttavia, con Werkzeug >=2.1.0 la configurazione autocorrect_location_header è stata cambiata a False, il che significa che le intestazioni Location nei reindirizzamenti sono relative per impostazione predefinita. Di conseguenza, questo problema potrebbe riguardare applicazioni che in precedenza non erano impattate, se utilizzano Werkzeug >=2.1.0 come livello WSGI.

Mitigazioni

1. Aggiornare a Flask-Security-Too 5.3.3

pip install -U Flask-Security-Too

OPPURE

2. Aggiungere queste opzioni di configurazione all'app (mitiga tutti gli esempi attualmente noti):

app.config['SECURITY_REDIRECT_VALIDATE_MODE'] = "regex"
app.config['SECURITY_REDIRECT_VALIDATE_RE'] = r"^/{4,}|\\{3,}|[\s\000-\037][/\\]{2,}(?![/\\])|[/\\](https://github.com/brandon-t-elliott/cve-2023-49438/blob/HEAD/%5B%5E/%5C%5C%5D%7C/%5B%5E/%5C%5C%5D)*[/\\].*"

OPPURE

3. Se si utilizza Werkzeug >=2.1.0, assicurarsi manualmente che autocorrect_location_header sia impostato a True:

@app.after_request
def fix_location_header(response):
    response.autocorrect_location_header = True

    return response

Riferimento CVE

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-49438

https://nvd.nist.gov/vuln/detail/CVE-2023-49438

Crediti

Soluzione alternativa scoperta da Brandon T. Elliott, Novembre 2023