Уязвимост в cdnjs, която позволява изпълнение на код на сървъри на Cloudflare

Беше идентифицирана критична уязвимост в cdnjs мрежата за доставка на съдържание на Cloudflare, която е предназначена да ускори доставката на JavaScript библиотеки, позволявайки произволно изпълнение на код на CDN сървъри. Опасността от проблема се утежнява от факта, че около 12.7% от всички сайтове в Интернет използват услугата за изтегляне на JavaScript библиотеки, а компрометирането на инфраструктурата прави възможно замяната на библиотеките, предоставени от някой от тези сайтове.

Услугата cdnjs изтегля пакети от Git или NPM хранилище, след което позволява на всеки сайт да използва безплатно мрежата за доставка на съдържание Cloudflare, за да ускори зареждането на JavaScript библиотеки. При изучаване на кода на cdnjs компонентите, публикуван в GitHub, беше разкрито, че за разопаковане на NPM пакети в tgz архиви се използва стандартният модул archive/tar на езика Go, който създава списък с файлове, както е, без нормализиране на пътищата . В случай, че скриптът разопакова съдържанието въз основа на дадения списък, наличието в архива на файлове като „../../../../../../../tmp/test“ може водят до презаписване на произволни файлове в системата, доколкото позволяват правата за достъп.

Предполага се, че атакуващият може да кандидатства за добавяне на своята библиотека към cdnjs и да качи специално проектиран архив, съдържащ файлове със знаци „../“ по пътя към хранилището на NPM. На cdnjs сървърите периодично се извършва операция "autoupdate", по време на която манипулаторът изтегля нови версии на предложената библиотека и разопакова съдържанието. Използвайки файлове с пътища „../“, нападателят може да презапише файлове със сервизни скриптове и да изпълни техния код на сървъра, на който е извършено разопаковането.

В случай на изтегляне на актуализации от Git беше открито, че манипулаторът, изтеглящ актуализациите, не е взел предвид символните връзки при копиране на файлове от Git. Тази функция направи възможно организирането на четенето на всякакви файлове от сървъра чрез добавяне на символни връзки към Git.

Беше решено да се започнат експерименти с демонстрация на хакване на cdnjs, за да се получи награда в HackerOne чрез тестване на хипотезата относно четенето на файлове. Добавена е символна връзка test.js към Git хранилището на JavaScript библиотеката, обслужвана чрез CDN, сочеща към файла /proc/self/maps. След публикуване на нова версия на библиотеката, манипулаторът на актуализация обработи това хранилище и публикува посочения файл в cdnjs (test.js беше създаден като символна връзка и когато този файл беше заявен, съдържанието на /proc/self/maps беше върнато ).

Заменяйки символна връзка към файла /proc/self/environ, авторът на изследването забеляза, че дадените данни съдържат стойностите на променливите на средата GITHUB_REPO_API_KEY и WORKERS_KV_API_TOKEN. Първата променлива съхранява API ключа за достъп за запис в хранилището на robocdnjs в GitHub. Втората променлива съхранява токена в KV хранилището в cdnjs. Използвайки получената информация, нападателят може да направи промени в cdnj и напълно да компрометира инфраструктурата.

Източник: opennet.ru