Cachet 2.4：透過 Laravel 配置注入執行代碼

教學

Laravel PHP

狀態頁面現已成為所有軟體即服務（SaaS）公司提供的基本服務。為了促進其普及，初創公司迅速推出了狀態頁面即服務，並提供了開源的自託管替代方案。Cachet，有時也稱為CachetHQ，是一個廣泛採用的狀態頁面系統，用PHP編寫，擁有多個社區分支，例如fiveai/Cachet。

攻擊者對破壞Cachet實例感興趣，因為它們存儲了各種服務（如快取、資料庫、郵件伺服器等）的密鑰。這種初始立足點有助於他們進一步滲透受影響公司的內部網絡並執行進一步攻擊。在本文中，我將介紹我的團隊和我發現的Cachet 2.4中的三個安全漏洞的技術分析，這些漏洞可能使攻擊者能夠破壞伺服器。

影響

這些漏洞的利用已在當時Cachet的最後一個官方版本（2.3.18）以及開發分支（2.4）上得到驗證。希望利用這些漏洞的攻擊者需要一個具有基本權限的有效用戶帳戶，這種情況可以通過以下方式實際利用：

利用每年洩露的大量帳戶進行憑據填充。
A compromised or malicious user.
同一範圍內存在跨站腳本（XSS）漏洞。
利用CVE-2021-39165，這是在2021年1月修復的Cachet中的預授權SQL注入漏洞。

漏洞1：CVE-2021-39172

我所描述的第一個漏洞（CVE-2021-39172）是一種換行注入，當用戶更新實例的配置時，如郵件設置，就會發生此問題。它允許攻擊者注入新的指令並改變核心功能的行為，導致執行任意代碼。

以下視頻展示了此漏洞的利用。為了演示，進行了幾個手動步驟，但攻擊者可以將其自動化：

來源：Sonar YouTube

漏洞2：CVE-2021-39174

第二個漏洞（CVE-2021-39174）也與此功能相關，允許攻擊者竊取存儲在配置文件中的秘密，例如SMTP服務器密碼、應用程序加密密鑰等。

漏洞3：CVE-2021-39173

最後，最後一個漏洞（CVE-2021-39173）相對簡單，允許在實例已完全配置的情況下通過設置過程。這樣，攻擊者可以欺騙Cachet實例使用其控制下的任意數據庫，最終導致任意代碼執行。

針對這三項漏洞的修補程式已包含在FiveAI分支的2.5.1版中。

技術細節

本節將詳述每個漏洞的技術細節以及在社群分支最新版本中如何進行緩解。

CVE-2021-39172：遠端程式碼執行

Cachet儀表板向非管理員用戶公開了多個配置視圖，用於更改實例名稱、郵件伺服器設定等。應用層級的持久設定保存在資料庫中，而其他框架層級的值則直接保存在應用程式的配置檔案中。Laravel框架使用dotenv配置檔案，其格式類似於在shell腳本中宣告環境變數的方式。第三方庫此處提供了相關支援。

當更改電子郵件提供商設定時，控制器會實例化一個UpdateConfigCommand類別的物件。在命令總線的上下文中，Laravel命令是一種將應用程式特定邏輯從控制器中移除的方法；它們將在對物件調用execute()時同步執行。這發生在[1]處：

app/Http/Controllers/Dashboard/SettingsController.php:

PHP

<?php
public function postMail()
{   
     $config = Binput::get('config');   
     execute(new UpdateConfigCommand($config));            // [1]    
     return cachet_redirect('dashboard.settings.mail')        
          ->withInput(Binput::all())       
          ->withSuccess(trans('dashboard.notifications.awesome')); 
}

相關處理器UpdateConfigCommandHandler負責透過替換現有條目為新條目，對現存的dotenv文件進行更改。

UpdateConfigCommandHandler可由以下兩處代碼觸發：

SetupController@postStep3：設置過程的最後一步。一旦實例安裝完成，此代碼路徑將不再可達；
SettingsController@postMail：當更新與郵件伺服器相關的dotenv條目時。

它首先會評估完整的配置文件以填充處理環境（[1]），確認是否已定義要更新的指令（[2]），並用新值替換該條目（[3]）：

app/Bus/Handlers/Commands/System/Config/UpdateConfigCommandHandler.php:

PHP

<?php
class UpdateConfigCommandHandler
{    
    // [...]    
    public function handle(UpdateConfigCommand $command)   
    {       
       foreach ($command->values as $setting => $value) {          
             $this->writeEnv($setting, $value);      
       }   
     }   
    // [...]   
    protected function writeEnv($key, $value)  
    {      
      $dir = app()->environmentPath();       
      $file = app()->environmentFile();       
      $path = "{$dir}/{$file}";        

      try {          
          (new Dotenv($dir, $file))->load();       // [1]              
          $envKey = strtoupper($key);          

          $envValue = env($envKey) ?: 'null';      // [2]           

         file_put_contents($path, str_replace(    // [3]              
              "{$envKey}={$envValue}",                        
              "{$envKey}={$value}",             
              file_get_contents($path)                   
         ));       
      } catch (InvalidPathException $e) {           
         throw $e;      
     }   
  } 
}

Source:
https://dzone.com/articles/cachet-two-four-code-execution-via-laravel-configuration-injection

DATE	ACTION
2021-03-26	Issues reported by email to the official security disclosure address of the upstream project.
2021-06-25	We send the security issues and patches to the community-supported fork (fiveai/Cachet).
2021-08-27	Release 2.5.1 of the FiveAI fork is published, with fixes for CVE-2021-39172, CVE-2021-39173, and CVE-2021-39174.