ApostropheCMS: Nicht authentifizierte CSV-Importanfragen hinterlassen abgelehnte Uploads im temporären Verzeichnis

Zusammenfassung

Ein abgelehnter Upload kann im temporären Verzeichnis des Betriebssystems verbleiben.

Multer speichert die Datei, bevor deren Erweiterung überprüft wird, und im Fehlerpfad der Ablehnung wird diese temporäre Datei nicht bereinigt. Ein nicht authentifizierter Anfragender kann diesen Vorgang mit großen Dateien wiederholen und so kontinuierlich den temporären Festplattenspeicher erschöpfen.

Details

Der betroffene Endpunkt lautet:

POST /api/v1/@apostrophecms/rich-text-widget/generate-csv-table

In packages/apostrophe/modules/@apostrophecms/rich-text-widget/lib/apiRoutes.js schreibt Multer den Upload zunächst nach os.tmpdir(). Der Handler weist anschließend Dateinamen zurück, deren Erweiterung nicht csv entspricht; allerdings erfolgt auf diesem Fehlerpfad keine Bereinigung der durch Multer erstellten Datei.

Die Route erfordert keine Authentifizierung eines Benutzers. Ein reguläres CSRF-Cookie ist ausreichend.

Während der Tests lieferte die Anfrage HTTP 400 mit Only csv files are supported zurück, während der vollständige hochgeladene Inhalt auch nach der Antwort in einer zufällig benannten Datei im konfigurierten temporären Verzeichnis verblieb.

Bezug zu früheren öffentlichen Arbeiten

Überprüft wurde PR #5013,, womit der Upload-Pfad für Rich-Text-CSV von connect-multiparty auf Multer umgestellt wurde. Dieser Bericht betrifft die Bereinigung nach dieser Migration: Die abgelehnte Multer-Datei verbleibt auf der Festplatte – ein Verhalten, das weder im PR noch in der zugehörigen Review-Diskussion beschrieben wurde.

Proof of Concept (PoC)

Erstellen Sie eine kleine Testdatei. Eine größere Datei kann verwendet werden, um das Anwachsen der Festplattenbelegung zu demonstrieren, aber 1 MiB genügen für eine sichere lokale Reproduktion:

dd if=/dev/zero of=rejected.txt bs=1M count=1

Rufen Sie die regulären Website-Cookies ab und senden Sie den abzulehnenden Upload:

curl -c cookies.txt 'http://127.0.0.1:3000/' > /dev/null

curl -i -b cookies.txt \
  -F 'file=@rejected.txt;filename=rejected.txt;type=text/plain' \
  'http://127.0.0.1:3000/api/v1/@apostrophecms/rich-text-widget/generate-csv-table'

Die Antwort lautet HTTP 400. Ein Vergleich des Inhalts des temporären Systemverzeichnisses vor und nach der Anfrage zeigt:

ls -lt /tmp

Eine neue Datei mit zufälligem Namen bleibt bestehen und enthält die hochgeladenen Bytes.

Es ist keine Anmeldung erforderlich. Das wiederholte Absenden der Multipart-Anfrage erzeugt zusätzliche persistente temporäre Dateien.

Auswirkungen

Ein entfernter, nicht authentifizierter Angreifer kann die Partition füllen, die für das temporäre Verzeichnis des Betriebssystems verwendet wird. Sobald diese Partition voll ist, können Apostrophe sowie andere unabhängige Dienste auf demselben Host möglicherweise keine Dateien mehr hochladen, keine temporären Daten mehr erstellen oder den normalen Betrieb einstellen.

Der Angriff erfordert lediglich wiederholte HTTP-Anfragen, und die gespeicherten Dateien verbleiben nach jeder abgelehnten Antwort auf dem System.