Cloudflare 서버에서 코드 실행을 허용하는 cdnjs의 취약점

JavaScript 라이브러리의 전달 속도를 높이고 CDN 서버에서 임의 코드 실행을 허용하도록 설계된 Cloudflare의 cdnjs 콘텐츠 전달 네트워크에서 심각한 취약점이 확인되었습니다. 인터넷의 전체 사이트 중 약 12.7%가 이 서비스를 사용하여 JavaScript 라이브러리를 다운로드하고 인프라가 손상되면 이러한 사이트에서 제공하는 라이브러리를 교체할 수 있다는 사실로 인해 문제의 위험이 더욱 가중됩니다.

cdnjs 서비스는 Git 또는 NPM 저장소에서 패키지를 다운로드한 후 모든 사이트에서 Cloudflare 콘텐츠 전송 네트워크를 무료로 사용하여 JavaScript 라이브러리 로드 속도를 높일 수 있도록 허용합니다. GitHub에 게시된 cdnjs 구성 요소의 코드를 연구할 때 tgz 아카이브에서 NPM 패키지의 압축을 풀기 위해 Go 언어의 표준 아카이브/tar 모듈이 사용되는 것으로 나타났습니다. 이는 경로를 정규화하지 않고 파일 목록을 있는 그대로 생성합니다. . 스크립트가 주어진 목록을 기반으로 콘텐츠의 압축을 풀 때 "../../../../../../../tmp/test"와 같은 파일 아카이브에 존재하면 액세스 권한이 허용하는 한 시스템의 임의 파일을 덮어쓰게 됩니다.

공격자가 자신의 라이브러리를 cdnjs에 추가하고 NPM 저장소 경로에 "../" 문자가 포함된 파일이 포함된 특별히 설계된 아카이브를 업로드하도록 신청할 수 있다는 제안이 있었습니다. cdnjs 서버에서는 "자동 업데이트" 작업이 주기적으로 수행되며, 이 동안 핸들러는 제안된 라이브러리의 새 버전을 다운로드하고 콘텐츠의 압축을 풉니다. 공격자는 경로가 "../"인 파일을 사용하여 서비스 스크립트로 파일을 덮어쓰고 압축 풀기가 수행된 서버에서 코드를 실행할 수 있습니다.

Git에서 업데이트를 다운로드하는 경우, 업데이트를 다운로드하는 핸들러가 Git에서 파일을 복사할 때 심볼릭 링크를 고려하지 않는 것으로 나타났습니다. 이 기능을 사용하면 Git에 심볼릭 링크를 추가하여 서버에서 모든 파일 읽기를 구성할 수 있습니다.

HackerOne에서 파일 읽기에 관한 가설을 테스트하여 상을 받기 위해 cdnjs 해킹 시연으로 실험을 시작하기로 결정되었습니다. /proc/self/maps 파일을 가리키는 기호 링크 test.js가 CDN을 통해 제공되는 JavaScript 라이브러리의 Git 저장소에 추가되었습니다. 새 버전의 라이브러리를 게시한 후 업데이트 핸들러가 이 저장소를 처리하고 지정된 파일을 cdnjs에 게시했습니다(test.js는 심볼릭 링크로 생성되었으며 이 파일을 요청하면 /proc/self/maps의 내용이 반환됨). ).

/proc/self/environ 파일에 대한 심볼릭 링크를 대체하여 연구 작성자는 주어진 데이터에 환경 변수 GITHUB_REPO_API_KEY 및 WORKERS_KV_API_TOKEN의 값이 포함되어 있음을 확인했습니다. 첫 번째 변수는 GitHub의 robocdnjs 저장소에 대한 쓰기 액세스를 위한 API 키를 저장했습니다. 두 번째 변수는 토큰을 cdnjs의 KV 저장소에 저장했습니다. 공격자는 받은 정보를 사용하여 cdnjs를 변경하고 인프라를 완전히 손상시킬 수 있습니다.

출처 : opennet.ru