Säkerhetsbrist i cdnjs som gjorde det möjligt att köra kod på Cloudflares servrar

I det av Cloudflare tillhandahållna innehållsnätverket cdnjs, avsett för att snabba upp leveransen av JavaScript-bibliotek, har en kritisk sårbarhet identifierats som möjliggör körning av godtycklig kod på CDN-servrar. Problemet förvärras av det faktum att omkring 12,7 % av alla webbplatser på internet använder tjänsten för att ladda ner JavaScript-bibliotek, och en kompromettering av infrastrukturen kan leda till att biblioteken som tillhandahålls av dessa webbplatser byts ut.

Tjänsten cdnjs laddar ner paket från Git eller NPM-repositoriet, och ger därmed alla webbplatser möjlighet att kostnadsfritt använda Cloudflares innehållsnätverk för att snabba upp laddningen av JavaScript-bibliotek. Vid granskningen av koden för cdnjs-komponenterna, publicerade på GitHub, upptäcktes det att en standardmodul archive/tar på Go-språket används för att extrahera NPM-paket från tgz-arkiv, vilket ger en lista över filer som de är, utan normalisering av sökvägar. Om ett skript extraherar innehållet baserat på den givna listan kan förekomsten av filer av typen "..\/..\/..\/..\/..\/..\/..\/tmp\/test" i arkivet leda till att godtyckliga filer skrivs över i systemet, i den utsträckning som behörigheterna medger.

Det antogs att en angripare kan ansöka om att få lägga till sitt bibliotek i cdnjs och ladda upp ett särskilt utformat arkiv till NPM-repositoriet, innehållande filer med tecken "..\/" i sökvägen. På cdnjs-servrarna utförs periodiskt en åtgärd "autoupdate", där en handler laddar ner nya versioner av det föreslagna biblioteket och extraherar innehållet. Genom att använda filer med sökvägar som "..\/" kan den angripande uppnå att skriva över filer med tjänstens skript och köra sin kod på servern som utfördes för extraheringen.

Vid nedladdning av uppdateringar från Git visade det sig att den nedladdande uppdateringshandlaren inte beaktade symboliska länkar vid kopiering av filer från Git. Denna egenskap möjliggjorde läsning av alla filer med servern genom att lägga till symboliska länkar i Git.

Experimenten med att demonstrera ett hack av cdnjs för att få en belöning på HackerOne började med att testa hypotesen om filavläsning. En symbolisk länk test.js lades till i Git-repo för den JavaScript-bibliotek som distribuerades via CDN, vilket pekade på filen /proc/self/maps. Efter publiceringen av den nya versionen av biblioteket hanterade uppdateringshanteraren detta repository och publicerade den angivna filen i cdnjs (test.js skapades som en symbolisk länk och vid begäran om denna fil visades innehållet från /proc/self/maps).

Genom att sätta en symbolisk länk till filen /proc/self/environ noterade forskaren att de returnerade data innehöll värdena för miljövariablerna GITHUB_REPO_API_KEY och WORKERS_KV_API_TOKEN. Den första variabeln innehöll API-nyckeln för skrivåtkomst till repositoryn robocdnjs på GitHub. Den andra variabeln innehöll en token för KV-lagring i cdnjs. Med hjälp av dessa uppgifter kunde angriparen göra ändringar i cdnjs och helt kompromettera infrastrukturen.

Källa: opennet.ru