Vulnerabilidade

Até este commit³, ao percorrer chunks na resolução de referências, como obter o fruitName do chunk 2 no exemplo acima, o React não verificava se a chave solicitada estava de fato definida no objeto. Isso nos permitia obter o protótipo do objeto⁴.

Isso pode ser demonstrado com um payload como este:

Que é desserializado no construtor de função⁵:

Quando o chunk com ID 0 não é um array, mas um objeto, podemos definir a chave then como o construtor de função. O objeto é então retornado pela função decodeReplyFromBusboy e aguardado pelo Next.js:

Quando isso retorna uma thenable, o await no chamador irá chamá-la. É o que acontece com este payload:

Levando a este erro:

O erro se parece com isso porque o V8 chama uma função awaited com as funções internas resolve e reject, que, quando toStringed, serializam para algo assim:

Exploração

Já que podemos trivialmente recuperar o construtor Function, o caminho mais direto é encontrar um call gadget que invoque o construtor com um valor controlado pelo usuário (ou seja, o código da função como uma string) e, posteriormente, chame a função retornada.

Existem vários pontos que podem chamar o construtor de função, por exemplo resolveServerReference, onde id é um objeto controlado, e lastIndexOf pode ser sobrescrito para retornar uma string controlada pelo usuário (por exemplo, via Array.prototype.join) e slice pode ser sobrescrito para o construtor de função. No entanto, esse ponto não funciona, pois a segunda invocação de .slice() fornece um número como primeiro argumento, que -pelo que sei- nunca pode ser tratado pelo construtor de função.

Aqui, entra uma ideia brilhante de maple3142⁶. Quando getChunk pega o chunk no ID 0 como referência raiz para começar a resolver a cadeia de referências, esse mesmo chunk pode resolver para um "chunk falso" criado.

Podemos referenciar o chunk 0 criado no chunk 1 usando a sintaxe $@, que retorna o chunk "bruto", não o seu valor resolvido:

Combinando isso com a nossa sobrescrita de then acima, podemos criar algo assim:

Aqui, o chunk 0 sobrescreve seu próprio .then() com o .then() da sua própria representação de chunk bruto. Simplificando, sobrescrevemos nosso próprio .then() com Chunk.prototype.then, que existe, já que Chunks são thenables:

Com o payload acima, Chunk.prototype.then é eventualmente chamado com o chunk criado de ID 0.

Como mostrado acima, quando .status em nosso chunk falso é resolved_model:

Entramos em initializeModelChunk. Aqui, .value é parseado como JSON, e então referências são resolvidas no objeto retornado, usando o contexto "externo" dos nossos chunks com IDs 0 e 1:

Dentro disso, temos agora uma segunda passada de avaliação com um pouco mais de valores aos quais temos acesso devido ao contexto externo já estar resolvido.

Existe um call gadget no tratamento de dados blob com o prefixo $B no flight protocol:

Usando o campo especial _response, controlamos a propriedade response do chunk criado:

Com isso, podemos criar um objeto com propriedades falsas ._formData e ._prefix:

O .reason precisa ser adicionado para contornar a falha na invocação de toString em `initializeModelChunk:

Ao apontar ._formData para o construtor de função, e ._prefix para o nosso código, obtemos um gadget de invocação para o construtor de função na desserialização de blob:

Nossa função criada é então retornada por parseModelString como o método .then() do chunk criado, que também é aguardado, já que tudo isso ocorre em uma única cadeia de resolução de promessas. Assim, retornando uma thenable, nossa função criada é chamada. Isso constitui o call gadget necessário referenciado acima.

Juntando tudo isso com um payload de RCE real, obtemos algo assim:

O bônus, que torna essa vulnerabilidade ainda pior, é que tudo isso acontece durante a desserialização, antes que a ação solicitada seja primeiramente validada em getActionModIdOrError. Assim, definir um cabeçalho como Next-Action: foo é suficiente para disparar a vulnerabilidade.

Correção

O uso das referências de chunks para recuperar propriedades de protótipo é corrigido com esta verificação: