CVE-2023-32692 — Инъекция в правила валидации CodeIgniter 4

CVE-2023-32692 — это уязвимость внедрения кода в PHP-фреймворке CodeIgniter 4, затрагивающая версии с 4.0.0 по 4.3.4. Она была исправлена в версии 4.3.5 (выпущенной в июне 2023 года). Это демонстрационное окружение для всех, кто хочет с ней поэкспериментировать.

Подробности об уязвимости можно найти в блоге MOGWAI LABS.

Среда PoC

Этот репозиторий содержит минимальное приложение на CodeIgniter 4, демонстрирующее уязвимость. В него включена конфигурация Dev Container, поэтому вы можете развернуть его прямо из VS Code (или любого совместимого редактора) без необходимости локальной установки PHP.

Базовый Docker-контейнер использует PHP 8.3 и устанавливает расширение XDebug для возможности отладки. Дополнительные PHP-модули, необходимые фреймворку CodeIgniter, устанавливаются в виде локальных «функций Devcontainer» (Devcontainer features), в основном потому, что мне хотелось попробовать эту функцию.

Включены следующие расширения VS Code (все они устанавливаются внутри контейнера, а не в вашем экземпляре VS Code):

Установка

1. Откройте репозиторий в VS Code и переоткройте его в Dev Container, когда будет предложено (требуется Docker). Это может занять некоторое время.
2. Необходимые пакеты устанавливаются автоматически через composer при сборке контейнера, здесь ничего делать не нужно.
3. Скопируйте шаблон окружения:

cp env .env

Запуск примера приложения

Dev Container включает Apache, но для этого PoC достаточно встроенного сервера разработки PHP. Откройте терминал в VS Code и выполните:

./spark serve --host 0.0.0.0

Приложение будет доступно по адресу http://localhost:8080. Вы можете получить к нему доступ за пределами контейнера, используя свой обычный веб-браузер.

Отладка с помощью XDebug

Файл .vscode/launch.json настраивает XDebug на прослушивание TCP-порта 9003 (также указанного в Dockerfile Dev Container):

{
    "version": "0.2.0",
    "configurations": [
        {
            "name": "Listen for Xdebug",
            "type": "php",
            "request": "launch",
            "port": 9003
        }
    ]
}

Запустите прослушиватель отладки до запуска сервера разработки PHP: нажмите значок «Run and Debug» на боковой панели VS Code и нажмите кнопку воспроизведения рядом с «Listen for Xdebug».

Уязвимый код

Уязвимый эндпоинт реализован в app/Controllers/Poc.php. Он предоставляет два маршрута:

Установите точку останова в Poc::update() и проследите, как плейсхолдер {id} разворачивается в строку правил внутри механизма валидации CodeIgniter. Соответствующий код фреймворка находится в vendor/codeigniter4/framework/system/Validation/Validation.php.

Шаблоны HTTP-запросов

Папка http_requests/ содержит готовые к использованию шаблоны для расширения VS Code REST Client:

Откройте любой файл .http и нажмите Send Request над блоком запроса, чтобы выполнить его.