Turvaauk cdnjs, mis võimaldas käivitada koodi Cloudflare'i serverites

Cloudflare'i pakutud sisu edastamise võrgus cdnjs, mis on mõeldud JavaScripti raamatukogude edastamise kiirus, tuvastati kriitiline haavatavus, mis võimaldab täita mootorkoodi CDN-i serverites. Probleemi ohtlikkust suurendab see, et umbes 12,7% kõigist veebilehtedest kasutab seda JavaScripti raamatukogude laadimiseks ja infrastruktuuri kompromiteerimine võimaldab asendada kogu nende lehtede edastatavat sisu.

Teenuse cdnjs kaudu laaditakse pakette Git-ist või NPM-repositorist, mille järel on igal veebilehel tasuta võimalus kasutada Cloudflare'i sisu edastamise võrku, et kiirendada JavaScripti raamatukogude laadimist. Cdnjs komponentide, mis on avaldatud GitHub-is, koodi uurimisel leiti, et NPM-pakettide unpackimiseks tgz arhiivides kasutatakse Go keeles kirjutatud standardset moodulit archive/tar, mis annab failide loendi sellisena, nagu nad on, ilma tee normaliseerimata. Kui skript unpackib sisu antud loendi põhjal, võivad arhiivides olevate failide, näiteks „.. / .. / .. / .. / .. / .. / .. / tmp / test”, olemasolu viia süsteemis juhuslike failide ülekirjutamiseni vastavalt juurdepääsuõigustele.

Oletati, et ründaja võib esitada taotluse oma raamatukogu lisamiseks cdnjs-i ja laadida NPM-repositorisse spetsiaalselt koostatud arhiivi, mis sisaldab faile, millel on teedes sümbolid „.. /”. Cdnjs serverites toimub perioodiliselt „autoupdate” operatsioon, mille käigus töötleja laadib alla soovitatud raamatukogude uusi versioone ja unpackib sisu. Failide abil, mille teed sisaldavad „.. /”, suudab ründaja saavutada teenuse skriptifailide ülekirjutamise ja oma koodi täitmise. serveris kuhu unpackimist tehti.

Git-ist värskenduste laadimise korral selgus, et värskendusi laadiv töötleja ei arvestanud sümboolseid linke faile Git-ist kopeerides. See omadus võimaldas lugeda kõiki faile, serverid lisades Git-i sümboolseid linke.

Eksperimendid cdnjs-i häkkimise demonstreerimisega HackerOne'i auhinna saamiseks otsustati alustada hüpoteesi testimisega seoses failide lugemisega. Git-repositsioonis, mis jagab CDN-i kaudu JavaScripti teeki, lisati sümboolne link test.js, mis osutas failile /proc/self/maps. Pärast teegi uue versiooni avaldamist töötles värskenduste töötleja antud repositsiooni ja avaldas antud faili cdnjs-is (test.js loodi sümboolse lingina ja faili pärimise korral anti välja sisu /proc/self/maps).

Asendades sümboolse lingi faili /proc/self/environ, märkas uurija, et jagatud andmete seas on keskkonna muutuja GITHUB_REPO_API_KEY ja WORKERS_KV_API_TOKEN väärtused. Esimeses muutujaid hoiti API võti, et pääseda kirjutamisõigusega repositsioonile robocdnjs GitHubis. Teises muutujaid hoiti KV-hoidla token cdnjs-is. Kasutades saadud teavet, suutis ründaja teha muudatusi cdnjs-is ja täielikult kompromiteerida infrastruktuuri.

Allikas: opennet.ru