CVE-2017-5941 — PoC di Deserializzazione Non Fidata di node-serialize (RCE)

⚠️ Solo per laboratorio / autovalutazione. Da utilizzare solo su sistemi di tua proprietà o per i quali sei autorizzato a testare.

Questo repository fornisce:

• Un PoC minimale per riprodurre CVE-2017-5941 contro un'app Node.js vulnerabile che utilizza node-serialize <= 0.0.4.
• Due vettori:
  • POST /api/deserialize (predefinito)
  • Cookie profile per /profile (codificato in Base64; il server deve decodificare prima di unserialize())

Cos'è CVE-2017-5941?

• Componente: node-serialize (≤ 0.0.4)
• Debolezza: Deserializzazione non fidata (CWE-502)
• Comportamento: Durante unserialize(), qualsiasi valore stringa che inizia con "_$$ND_FUNC$$_" viene trattato come JavaScript eseguibile (valutato).
• Impatto: Se un input non fidato raggiunge unserialize(), porta a Esecuzione Remota di Codice.

Esempio di un valore malevolo:

{ "p": "_$$ND_FUNC$$_function(){ require('child_process').exec('id') }()" }