isecuritytw/seal-security-nuget-demo-net7.NET 7 форк seal-security-nuget-demo: та же история эксплуатации CVE-2024-21907, переориентированная на клиентов, привязанных к .NET SDK 7.
Это переориентированный форк канонического seal-security-nuget-demo (который нацелен на net9.0). История эксплойта, контроллеры и список запатченных пакетов идентичны — отличается только TargetFramework.
Он существует потому, что большинство корпоративных заказчиков не могут перейти на новейший .NET SDK по требованию. .NET 7 достиг конца поддержки 14 мая 2024 года, но реальные производственные среды всё ещё работают на нём по причинам совместимости, сертификации или эксплуатации. Именно для этого и создан Seal Security: когда заказчик не может (или не хочет) делать мажорное обновление версии, Seal патчит уязвимую зависимость на месте в той же версии, без изменения публичного API и без правок кода приложения заказчика. Эта демонстрация позволяет провести такой разговор на реальном стеке заказчика, а не просить его сначала установить net8/net9.
Форк фиксирует SDK на 7.0.x через global.json, чтобы случайные обновления не проскочили во время демонстрации.
Это демонстрационное приложение — простая стартовая страница ASP.NET Core, которая использует Newtonsoft.Json 12.0.2 для разбора пользовательского ввода как объекта конфигурации. У приложения есть поле имени — введите своё имя, нажмите Go, и оно отобразит «Welcome, alice!». Под капотом ввод передаётся через JsonConvert.DeserializeObject<NestedConfig>() библиотеки Newtonsoft.Json. Вот и всё — совершенно стандартное использование популярной JSON-библиотеки.
Проблема в том, что Newtonsoft.Json 12.0.2 (и версии до 13.0.1) содержит CVE-2024-21907 — уязвимость типа «Отказ в обслуживании» высокой степени серьёзности с оценкой CVSS 7.5 (HIGH). Эта демонстрация показывает, как Seal Security патчит уязвимость на месте без необходимости мажорного обновления версии.
Метод JsonConvert.DeserializeObject<T>() библиотеки Newtonsoft.Json может быть использован путём создания глубоко вложенных JSON-нагрузок. При десериализации в типизированный объект (POCO) JsonSerializerInternalReader библиотеки выполняет по-настоящему рекурсивные вызовы (CreateValueInternal → CreateObject → PopulateObject → SetPropertyValue → CreateValueInternal), которые вызывают переполнение стека, что приводит к падению приложения (отказ в обслуживании).
Приложение принимает пользовательский ввод и разбирает его через Newtonsoft.Json. Если ввод является URL-адресом, приложение сначала загружает содержимое — реалистичный шаблон, используемый загрузчиками конфигураций, тестерами API и приёмниками вебхуков:
public class NestedConfig
{
[JsonProperty("n")]
public NestedConfig? N { get; set; }
}
var config = JsonConvert.DeserializeObject<NestedConfig>(name);
Обычный ввод: Введите alice → отобразится «Welcome, alice!»
Эксплойт: Вставьте этот URL в поле имени и нажмите Go:
https://raw.githubusercontent.com/seal-sec-demo-2/json-payload/main/payload.json
Приложение определяет, что это URL, загружает json-payload (глубоко вложенный JSON {"n":{"n":{...}}}) и десериализует его через Newtonsoft.Json в рекурсивный класс NestedConfig — вызывая переполнение стека.
JsonSerializerInternalReader рекурсивно проходит через CreateValueInternal → CreateObject → PopulateObject → SetPropertyValue для каждого уровня вложенности. На глубине ~5000 уровней это исчерпывает стек потока, и приложение падает с StackOverflowException — процесс умирает мгновенно (обработка ошибок невозможна).
С помощью этой уязвимости атакующие могут:
Общедоступное исправление требует обновления до версии 13.0.1. Однако обновление мажорных версий часто вносит:
Это превращает «простое обновление» в проект, который легко может занять недели времени разработчиков — оставляя уязвимость открытой в это время.
Запатченная версия Seal (12.0.2-sp1) добавляет защиту от глубины рекурсии без изменения какого-либо публичного API. Патч:
MaxDepth по умолчанию для предотвращения неограниченной рекурсииЭто та же стратегия смягчения, что применяется в Newtonsoft.Json 13.0.1, перенесённая на 12.0.2 как замена без изменений.
Эта демонстрация также включает другие уязвимые NuGet-пакеты, которые Seal Security может патчить:
Уязвимость «Внешняя сущность XML» (XXE) в разборе XML-конфигурации log4net. Атакующий, контролирующий файл конфигурации log4net, может:
Примечание о
System.Net.Http: Каноническая демонстрация net9 также поставляет уязвимую ссылкуSystem.Net.Http 4.3.0для CVE-2017-0249. Мы исключили её из этого форка net7, потому что в .NET 7System.Net.Httpявляется частью BCL, а отдельная ссылка на пакет — это рудиментарный мета-пакет; у него есть известные крайние случаи сdotnet add package --source <local-nupkg>, а именно так CLI Seal применяет запатченные версии. Её исключение делает шагseal fixнадёжным без изменения истории демонстрации (HttpClientпо-прежнему работает отлично; его предоставляет рантайм).
Двоичные файлы CLI для Windows были прекращены после v0.3.238. v0.3.238 полностью функционален для устранения проблем NuGet в Windows.
Подробное руководство по установке и запуску на Windows Server находится в README-WINDOWS-SERVER.md. Краткое руководство ниже охватывает те же шаги в сжатой форме.
PowerShell:
$env:SEAL_TOKEN = "your-seal-token-here"
$env:SEAL_PROJECT = "nuget-demo-net7"
cd seal-security-nuget-demo-net7
# Восстановление (тянет с nuget.org и канала Seal — см. nuget.config)
dotnet restore
# Сборка и запуск
dotnet build
dotnet run
Откройте http://localhost:5000 — приложение работает с уязвимыми зависимостями.
Введите alice в поле имени, нажмите Go. Вы должны увидеть: «Welcome, alice!»
Вставьте следующий URL в поле имени и нажмите Go:
https://raw.githubusercontent.com/seal-sec-demo-2/json-payload/main/payload.json
Результат без патча: Браузер показывает ошибку / сброс соединения — приложение упало с StackOverflowException в JsonSerializerInternalReader.CreateValueInternal. Процесс мёртв.
# (Необязательно — уже сделано выше) Сначала восстановите зависимости
dotnet restore
# Запустите CLI Seal для исправления уязвимостей
seal fix . --mode remote -v
# Восстановите снова, чтобы получить запатченные версии
dotnet restore
# Сборка и запуск запатченного приложения
dotnet build
dotnet run
Теперь приложение использует запатченные версии (Newtonsoft.Json 12.0.2-sp1, log4net 2.0.5-sp1).
Результат с патчем: Вставьте тот же URL эксплойта → страница показывает «Blocked by Seal patch: MaxDepth of 64 has been exceeded.» — запатченный предел рекурсии Newtonsoft.Json отклонил глубокую нагрузку. Сервер продолжает работать нормально.
dotnet list package
Вы должны увидеть пакеты с суффиксом -sp1, указывающим на патчи Seal Security.
Шаг CLI должен быть добавлен сразу после установки зависимостей, но до финальной сборки.
# 1. Восстановите зависимости
dotnet restore
# 2. <--- Запустите CLI Seal здесь
$env:SEAL_TOKEN = "your-seal-token-here"
$env:SEAL_PROJECT = "nuget-demo-net7"
seal fix . --mode remote -v
# 3. Восстановите снова (чтобы получить запатченные версии)
dotnet restore
# 4. Сборка
dotnet build
| Режим | Описание |
|---|---|
all | Применить все доступные исправления автоматически |
remote | Применять только исправления, одобренные в интерфейсе Seal |
local | Применять только исправления, определённые в .seal-actions.yml |
.seal-actions.yml в этом репозитории уже перечисляет три запатченных переопределения для режима local, поэтому seal fix . --mode local -v работает офлайн (токен всё равно нужен для сервера артефактов).
nuget.config предварительно настроен на использование Seal Security с переменными окружения:
<configuration>
<packageSources>
<add key="Seal" value="https://nuget.sealsecurity.io/v3/index.json" />
<add key="nuget.org" value="https://api.nuget.org/v3/index.json" />
</packageSources>
<packageSourceCredentials>
<Seal>
<add key="Username" value="%SEAL_PROJECT%" />
<add key="ClearTextPassword" value="%SEAL_TOKEN%" />
</Seal>
</packageSourceCredentials>
</configuration>
| Переменная | Описание |
|---|---|
SEAL_TOKEN | Ваш токен доступа Seal Security |
SEAL_PROJECT | Идентификатор проекта (например, nuget-demo-net7) |
CLI Seal требует исходящий HTTPS (TCP 443) к:
cli.sealsecurity.io — конфигурация сканирования / исправленияauthorization.sealsecurity.io — проверка токенаnuget.sealsecurity.io — загрузка запатченных .nupkgd2zko6i8myndc4.cloudfront.net — CDN, который обслуживает фактические запатченные артефакты (хосты .sealsecurity.io перенаправляют сюда)api.nuget.org / стандартные конечные точки nuget.org — для незапатченных зависимостейПроверьте из PowerShell после открытия брандмауэра:
Test-NetConnection cli.sealsecurity.io -Port 443
Test-NetConnection authorization.sealsecurity.io -Port 443
Test-NetConnection nuget.sealsecurity.io -Port 443
Test-NetConnection d2zko6i8myndc4.cloudfront.net -Port 443
Все должны сообщать TcpTestSucceeded: True.
| Элемент | Почему это важно |
|---|---|
global.json фиксирует SDK на 7.0.x с rollForward: latestFeature | Останавливает машины с параллельными net8/net9 от незаметного переключения SDK посреди демонстрации. |
System.Configuration.ConfigurationManager зафиксирован на 7.0.0 | Каноническая демонстрация net9 использует 8.0.0, который нацелен только на net8 и не восстанавливается на net7. 7.0.0 имеет ту же поверхность API, которая нужна log4net. |
NU1701 подавлен в csproj | log4net 2.0.5 рекламирует устаревший TFM net4x, который .NET 7 принимает в рантайме, но предупреждает при восстановлении. Предупреждение косметическое; подавление сохраняет чистый вывод сборки во время демонстрации. |
| CLI Seal v0.3.238 для Windows x64 | Последний выпуск с двоичным файлом для Windows; полностью функционален для устранения проблем NuGet. Двоичные файлы для Windows были прекращены после этой версии, поэтому не предлагайте более новый выпуск. |
12.0.2-sp1 — это бинарно совместимая замена для 12.0.2.Пакеты, используемые в этой демонстрации:
| Пакет | Уязвимая версия | Запатченная версия | CVE | CVSS |
|---|---|---|---|---|
| Newtonsoft.Json | 12.0.2 | 12.0.2-sp1 | CVE-2024-21907 | 7.5 HIGH |
| log4net | 2.0.5 | 2.0.5-sp1 | CVE-2018-1285 | 9.8 CRITICAL |
Другие запатченные NuGet-пакеты, доступные из канала Seal (не в этой демонстрации, приведены для справки):
| Пакет | Уязвимая версия | Запатченная версия | CVE | CVSS |
|---|---|---|---|---|
| log4net | 2.0.0 | 2.0.0-sp1 | CVE-2018-1285 | 9.8 CRITICAL |
| System.Net.Http | 4.3.0 | 4.3.0-sp1 | CVE-2017-0249 | 7.3 HIGH |
| Snappier | 1.1.0 | 1.1.0-sp1 | CVE-2023-28638 | 7.0 HIGH |
| jQuery.Validation | 1.17.0 | 1.17.0-sp1 | CVE-2021-21252 | 7.5 HIGH |
Лицензия MIT — подробности см. в файле LICENSE.