📖 1. Visão Geral da Vulnerabilidade

CVE-2024-36039 é uma vulnerabilidade no PyMySQL, uma biblioteca cliente MySQL em Python puro.

Quando consultas parametrizadas (ex.: execute("SELECT * FROM table WHERE data = %s", (my_dict,))) recebem um dicionário Python em que as chaves são objetos personalizados em vez de strings padrão, o PyMySQL usa o método __str__ ou __repr__ do objeto para serializá-lo em uma string SQL.

O Bug: o PyMySQL esquece de escapar (envolver em aspas simples) a string resultante da chave do objeto. Isso resulta em uma string bruta, sem aspas, sendo injetada diretamente na instrução SQL formatada como um dicionário: {UnquotedObjectString: 'EscapedValue'}.

🔬 2. Análise Técnica Aprofundada: O Truque ODBC do MariaDB

Por si só, injetar {UnquotedKey: 'Value'} em uma consulta MariaDB acionará um 1064 Syntax Error porque {} não é sintaxe padrão de dados SQL.

No entanto, o MariaDB/MySQL suporta Sequências de Escape ODBC, que usam chaves {}. Para contornar o erro de sintaxe, a string imediatamente após o { deve ser uma palavra-chave ODBC válida (ex.: d, t, ts, fn).

A Cadeia de Exploração:

1. A Chave do Objeto (O Ponto de Injeção): Criamos um objeto personalizado que retorna fn/* por meio do seu método __repr__.
2. O Valor (O Payload): Definimos o valor do dicionário como */ 1} UNION SELECT 1, flag, 3 FROM secret -- .
3. Serialização do PyMySQL: o PyMySQL formata este dicionário na consulta SQL sem colocar aspas na chave:
   root@kitploit:~

   SELECT * FROM logs WHERE device_signature = {fn/*: "'*/ 1} UNION SELECT 1, flag, 3 FROM secret -- '"}
   

4. A Mágica do Parsing do MariaDB:
   • {fn : o MariaDB reconhece o início de uma função escalar ODBC.
   • /*: "'*/ : o MariaDB trata isso como um comentário de bloco. Os dois-pontos : e a aspa de abertura ' gerados pelo PyMySQL são completamente ignorados!
   • 1} : Completa a função ODBC (efetivamente retornando o inteiro 1).
   • UNION SELECT 1, flag, 3 FROM secret : Nosso payload SQL injetado é executado.
   • -- '"} : O comentário SQL ignora o restante do lixo final ('}).

Resultado: Uma Injeção de SQL impecável que contorna tanto a lógica da aplicação quanto a parametrização do PyMySQL!

🛠️ 3. Instruções de Configuração do Laboratório

Pré-requisitos

• Docker
• Docker Compose

Instalação

Clone este repositório e suba o ambiente:

(Aguarde cerca de 15 a 20 segundos para o contêiner MariaDB inicializar completamente).

🎯 4. Etapas de Exploração

Etapa 1: Requisição Normal

Envie uma requisição JSON padrão. O backend converterá a chave JSON em um objeto CustomKey.

Resposta: Você receberá um Erro de Sintaxe SQL indicando que {yamato: "'Any_value'"} é SQL inválido, confirmando o ponto de injeção.

Etapa 2: O Exploit (Extraindo a Flag)

Injete o payload de sequência de escape ODBC para contornar o erro de sintaxe e extrair a flag oculta da tabela secret.

Resposta (PWNED!):

🛡️ 5. Remediação

Para corrigir esta vulnerabilidade, atualize o PyMySQL para a versão 1.1.1 ou posterior.

Nas versões corrigidas, os desenvolvedores garantem que todas as chaves do dicionário, independentemente do tipo, sejam devidamente escapadas e recebam aspas antes de serem inseridas na instrução SQL.

📚 6. Créditos e Referências

• Advisory CVE-2024-36039: NVD - CVE-2024-36039
• Correção de Segurança do PyMySQL: PyMySQL GitHub Release v1.1.1
• Sequências de Escape ODBC do MariaDB: Documentação do MariaDB.
• Inspiração: Este ambiente de laboratório foi modelado com base em técnicas modernas de exploração web envolvendo falhas de serialização de objeto para string.

Aviso: Este repositório foi criado apenas para fins educacionais e de pesquisa. Não use estas técnicas contra sistemas que você não possui ou para os quais não tenha permissão explícita para testar.

© 2026 por zenniskayy. Feito para uma internet mais segura.