Уязвимость

До этого коммита³ при обходе чанков для разрешения ссылок, например, получения fruitName из чанка 2 в примере выше, React не проверял, установлен ли запрашиваемый ключ на объекте. Это позволяло получить прототип объекта⁴.

Это можно продемонстрировать с помощью такой нагрузки:

Которая десериализуется в конструктор функции⁵:

Когда чанк с ID 0 является не массивом, а объектом, мы можем установить ключ then в конструктор функции. Затем объект возвращается функцией decodeReplyFromBusboy и ожидается (await) Next.js:

Когда это возвращает thenable, await в вызывающем коде вызовет его. Это происходит с такой нагрузкой:

Что приводит к такой ошибке:

Ошибка выглядит так, потому что V8 вызывает await-функцию с внутренними функциями resolve и reject, которые при преобразовании в строку (toString) сериализуются примерно так:

Эксплуатация

Поскольку мы можем тривиально получить конструктор Function, очевидный путь — найти call-gadget, который вызывает конструктор с управляемым пользователем значением (т.е. кодом функции в виде строки), а затем вызывает возвращённую функцию.

Есть несколько мест, которые могут вызвать конструктор функции, например resolveServerReference, где id — это управляемый объект, а lastIndexOf может быть переопределён для возврата управляемой пользователем строки (например, через Array.prototype.join), а slice можно переопределить на конструктор функции. Однако это место не работает, так как второй вызов .slice() передаёт число в качестве первого аргумента, которое — насколько мне известно — никогда не может быть обработано конструктором функции.

Здесь приходит блестящая идея от maple3142⁶. Когда getChunk берёт чанк с ID 0 в качестве корневой ссылки для начала разрешения цепочки ссылок, этот же самый чанк может разрешиться в поддельный «фейковый чанк».

Мы можем сослаться на поддельный чанк 0 в чанке 1, используя синтаксис $@, который возвращает «сырой» чанк, а не его разрешённое значение:

Комбинируя это с нашей перезаписью then из предыдущего раздела, мы можем создать нечто подобное:

Здесь чанк 0 перезаписывает свой собственный .then() на .then() своего собственного сырого представления чанка. Проще говоря, мы перезаписываем свой .then() на Chunk.prototype.then, который существует, поскольку Chunk являются thenables:

С приведённой выше нагрузкой Chunk.prototype.then в конечном итоге вызывается с поддельным чанком с ID 0.

Как показано выше, когда .status на нашем фейковом чанке равен resolved_model:

Мы попадаем в initializeModelChunk. Здесь .value парсится как JSON, а затем ссылки разрешаются на возвращённом объекте с использованием «внешнего» контекста наших чанков с ID 0 и 1:

Внутри этого мы теперь получаем второй проход вычислений с немного большим количеством значений, к которым у нас есть доступ благодаря уже разрешённому внешнему контексту.

Существует call-gadget в обработке данных-blob с префиксом $B в протоколе flight:

Используя специальное поле _response, мы контролируем свойство response поддельного чанка:

С этим мы можем создать объект с поддельными свойствами ._formData и ._prefix:

.reason необходимо добавить, чтобы обойти сбой при вызове toString в `initializeModelChunk:

Указывая ._formData на конструктор функции, а ._prefix на наш код, мы получаем вызов-гаджет для конструктора функции в десериализации blob:

Наша сконструированная функция затем возвращается parseModelString как метод .then() поддельного чанка, который также ожидается (await), поскольку всё это происходит в одной цепочке разрешения промисов. Таким образом, возвращая thenable, наша сконструированная функция вызывается. Это и есть требуемый call-gadget, упомянутый выше.

Собирая всё вместе с реальной нагрузкой для RCE, мы получаем нечто подобное:

Бонус, который делает эту уязвимость ещё хуже, заключается в том, что всё это происходит во время десериализации, до того как запрошенное действие будет проверено в getActionModIdOrError. Таким образом, установка заголовка типа Next-Action: foo достаточна для срабатывания уязвимости.

Исправление

Использование ссылок на чанки для получения свойств прототипа исправлено с помощью этой проверки: