פגיעות ב-cdnjs שאפשרה ביצוע קוד בשרתי Cloudflare

זוהתה פגיעות קריטית ברשת אספקת התוכן cdnjs של Cloudflare, אשר נועדה להאיץ את האספקה ​​של ספריות JavaScript, ולאפשר ביצוע קוד שרירותי בשרתי CDN. סכנת הבעיה מחמירה בכך שכ-12.7% מכלל האתרים באינטרנט משתמשים בשירות להורדת ספריות JavaScript, ופגיעה בתשתית מאפשרת להחליף את הספריות המסופקות בכל אחד מהאתרים הללו.

שירות cdnjs מוריד חבילות מ-Git או ממאגר NPM, ולאחר מכן הוא מאפשר לכל אתר להשתמש ברשת משלוח התוכן של Cloudflare בחינם כדי להאיץ את הטעינה של ספריות JavaScript. כאשר למדנו את הקוד של רכיבי cdnjs שפורסמו ב-GitHub, התגלה שכדי לפרוק חבילות NPM בארכיוני tgz, נעשה שימוש במודול הארכיון/tar הסטנדרטי בשפת Go, אשר מייצר רשימת קבצים כפי שהם, מבלי לנרמל את הנתיבים . במקרה שבו הסקריפט פורק את התוכן על סמך הרשימה הנתונה, הנוכחות בארכיון של קבצים כמו "../../../../../../../tmp/test" יכולה להוביל להחלפת קבצים שרירותיים במערכת, ככל שמאפשרות זכויות הגישה.

הוצע שתוקף יוכל להגיש בקשה להוסיף את הספרייה שלו ל-cdnjs ולהעלות ארכיון מעוצב במיוחד המכיל קבצים עם תווי "../" בנתיב למאגר NPM. בשרתי cdnjs מבוצעת מעת לעת פעולת "עדכון אוטומטי", שבמהלכה המטפל מוריד גרסאות חדשות של הספרייה המוצעת ומפרק את התוכן. באמצעות קבצים עם נתיבים "../", תוקף יכול להחליף קבצים עם סקריפטים של שירות ולהפעיל את הקוד שלהם בשרת שבו בוצעה הפריקה.

במקרה של הורדת עדכונים מ-Git, התגלה שהמטפל שהוריד את העדכונים לא לקח בחשבון קישורים סמליים בעת העתקת קבצים מ-Git. תכונה זו אפשרה לארגן את הקריאה של כל קבצים מהשרת על ידי הוספת קישורים סמליים ל-Git.

הוחלט להתחיל בניסויים בהדגמה של פריצה ל-cdnjs כדי לקבל פרס ב-HackerOne על ידי בדיקת ההשערה לגבי קריאת קבצים. קישור סמלי test.js נוסף למאגר Git של ספריית JavaScript המוגשת באמצעות CDN, ומצביע על קובץ /proc/self/maps. לאחר פרסום גרסה חדשה של הספרייה, מטפל העדכונים עיבד מאגר זה ופרסם את הקובץ שצוין ב-cdnjs (test.js נוצר כקישור סמלי וכאשר התבקש קובץ זה, התוכן של /proc/self/maps הוחזר ).

בהחלפת קישור סמלי לקובץ /proc/self/environ, מחבר המחקר שם לב שהנתונים הנתונים מכילים את הערכים של משתני הסביבה GITHUB_REPO_API_KEY ו-WORKERS_KV_API_TOKEN. המשתנה הראשון אחסן את מפתח ה-API עבור גישת כתיבה למאגר robocdnjs ב-GitHub. המשתנה השני אחסן את האסימון באחסון KV ב-cdnjs. באמצעות המידע שהתקבל, התוקף יכול לבצע שינויים ב-cdnjs ולסכן לחלוטין את התשתית.

מקור: OpenNet.ru