CVE-2022-46485

ngDoS - ngSurvey <= 2.4.28 サービス拒否

ngSurvey バージョン 2.4.28 以下は、アンケートに「Text Field」、「Comment Field」または「Contact Details」が含まれている場合、サービス拒否に対して脆弱です。 問題はこれらのフィールドに文字数制限がないために発生します。攻撃者はフィールドに無限の文字数を送信できます。 テスト中、リクエスト送信時にDockerアプリケーションがクラッシュしました。 他のケースではアンケートの回答は正常に送信されました。ngSurvey管理者が回答者のデータを表示したりエクスポートを実行しようとすると、Webブラウザが過剰なRAMを使用するか、サーバーが内部エラー（500）を返します。これにより、少なくともWebインターフェースからはアンケートデータにアクセスできなくなります。 ngSurvey管理者が回答に文字数制限を設定したとしても、チェックがクライアント側ブラウザでのみ実行されるため、この悪用は依然として可能です。

注: 「slider」質問も、文字列ではなく大きな整数で脆弱である可能性があります。ローカル環境では確認できませんでした。

悪用手順

• アンケートページを開き、テキストフィールドまたはコメントフィールドを見つけます。
• アンケートを通常通りに記入します。テキストまたはコメントフィールドに dospayload と入力します（他の文字列でも機能しますが、デモンストレーションではこの文字列を使用します）。
• 「送信」をクリックしますが、Burp Suiteでリクエストをインターセプトします。
• リクエストを右クリック > Extensions > Copy As Python-Requests > Copy as requests を選択します。（Copy As Python-Requests拡張機能が必要です。BApp Storeからインストールしてください）
• コードを新しいファイルに貼り付けます。
• import requests の下に、次のコードを追加します: dospayload = "A" * 123456789
• burp0_json 内のテキスト/コメント回答を見つけます。次のようになっています: "value" : "dospayload"
• ダブルクォーテーションを削除して次のようにします: "value" : dospayload
• 応答を確認したい場合は、リクエストを変数に格納し、status_code と content を表示します。
• 送信します

最終的なコードは次のようになります:

PoCスクリプトがない理由？

テキストフィールドやコメントフィールドを他の種類の回答（単一選択、ドロップダウンリストなど）と区別する方法を見つけられませんでした。アプリケーションではIDで識別されていると考えられます。 URLを入力として受け取り、上記の悪用手順を実行する動作するスクリプトを作成する方法を見つけた方は、喜んで参考にさせていただきます。