CVE-2022-33171：TypeORM SQL 注入

注意：这是对 CVE-2022-33171 的进行中分析。此处提供的详细信息可能会随着进一步信息的公开而更新。当前无法正常工作

漏洞详情

CVE ID： CVE-2022-33171
产品： TypeORM
受影响版本： < 0.3.0
漏洞类型： SQL 注入
披露日期： 2022年6月28日

描述

在 0.3.0 版本之前的 TypeORM 中，findOne(id) 和 findOneOrFail(id) 函数可以接收字符串或 FindOneOptions 对象。当该函数的输入是用户控制的已解析 JSON 对象时，提供精心构造的 FindOneOptions 而非 id 字符串会导致 SQL 注入。

根本原因

该漏洞存在的原因如下：

1. findOne() 函数接受灵活输入类型（字符串或 FindOneOptions 对象）
2. 当用户输入被解析为 JSON 并直接传递给函数时，攻击者可以提供恶意的 FindOneOptions 对象
3. 生成的 SQL 查询会在未进行适当清理的情况下纳入攻击者控制的对象属性

维护者的回应

TypeORM 维护者表示，根本原因在于应用程序侧的输入验证不足，而非库本身。然而，该函数被明确设计为接受用户输入，因此认为库应安全处理这一问题的论点是有道理的。

影响

• 严重性： 高
• SQL 注入： 攻击者可以执行任意 SQL 查询
• 数据泄露： 未经授权访问敏感数据
• 数据篡改： 可能修改或删除数据
• 拒绝服务： 通过高开销查询耗尽数据库资源

修复

升级到 TypeORM 0.3.0 或更高版本，该版本包含对此漏洞的修复。

时间线

• 2022年6月28日： 漏洞在 Full Disclosure 邮件列表上披露
• 0.3.0 之前： 漏洞存在
• 0.3.0 及以上： 漏洞已由 TypeORM 维护者修复

参考

• CVE-2022-33171
• Seclists