Rocket.Chat NoSQLi: Утечка токена и сброс пароля

Автоматизированный эксплойт для Rocket.Chat (и приложений на базе Meteor), который использует NoSQL-инъекцию через выражение $where для утечки токенов сброса пароля через исключения на стороне сервера. После утечки токена скрипт выполняет неаутентифицированный сброс пароля.

Обзор уязвимости

1. Аутентификация: Скрипт аутентифицируется как обычный пользователь для получения доступа к конечной точке /api/v1/users.list.

2. NoSQL-инъекция: Использует параметр query для внедрения JavaScript-выражения $where.

3. Эксфильтрация данных: Используя оператор throw внутри инъекции, скрипт заставляет сервер вернуть ошибку «неперехваченное исключение», содержащую токен сброса пароля целевого пользователя.

4. Захват учётной записи: Скрипт использует утекший токен для вызова resetPassword, изменяя пароль целевой учётной записи.

Использование

Предварительные требования

• Python 3.x

• библиотека requests

Bash

pip install requests

Запуск

Bash

python3 exploit.py --url http://<TARGET_IP>:3000\
                   -u <YOUR_USER>\
                   -p <YOUR_PASS>\
                   -a <TARGET_ADMIN_USER>\
                   -ap <NEW_ADMIN_PASSWORD>

Аргументы командной строки

Деталь цепочки эксплойта

Основой эксплойта является строка инъекции:

JavaScript

{"$where":"this.username==='admin' && (()=>{ throw this.services.password.reset.token })()"}

При обработке сервером движок базы данных выполняет анонимную функцию, аварийно завершается на throw, и приложение перехватывает исключение, непреднамеренно передавая секретный токен обратно пользователю в JSON-ответе об ошибке.