OpenNext Cloudflare: Przechwytywanie pamięci podręcznej może ominąć ochronę middleware dla zakodowanych ścieżek

Podsumowanie

Gdy przechwytywanie pamięci podręcznej jest włączone, @opennextjs/cloudflare może odmiennie interpretować ścieżki zakodowane procentowo (percent-encoded) podczas dopasowywania middleware oraz podczas wyszukiwania w pamięci podręcznej.

Zakodowane żądanie może nie pasować do reguł middleware autoryzacyjnego, a następnie zostać zdekodowane do klucza pamięci podręcznej chronionej trasy. W rezultacie zbuforowana odpowiedź może zostać zwrócona bez wywołania middleware.

enableCacheInterception jest domyślnie wyłączone.

Wpływ

Zdalny, nieuwierzytelniony atakujący może pobrać zbuforowaną zawartość tras, które miały być chronione przez middleware.

Aplikacja jest podatna, gdy:

• jawnie włącza enableCacheInterception;
• polega na middleware w zakresie kontroli dostępu; oraz
• posiada pasującą trasę w pamięci podręcznej.

Szczegóły

Dopasowywanie middleware używało wcześniej zakodowanej ścieżki żądania, podczas gdy mechanizm przechwytywania pamięci podręcznej dekodował ścieżkę przed wyborem wpisu z pamięci podręcznej.

Dla przykładu rozważmy aplikację zawierającą:

• wzorzec dopasowania middleware /admin/:path*;
• middleware zwracający 401 Authentication required dla /admin;
• statycznie wygenerowaną, zbuforowaną trasę /admin; oraz
• włączone przechwytywanie pamięci podręcznej:

export default defineCloudflareConfig({
  incrementalCache: staticAssetsIncrementalCache,
  enableCacheInterception: true,
});

Atakujący może wysłać żądanie:

GET /%61dmin

Zakodowana ścieżka nie pasuje do /admin/:path*, przez co middleware autoryzacyjny nie zostaje wywołany. Następnie przechwytywanie pamięci podręcznej dekoduje %61dmin do admin i może zwrócić zbuforowaną odpowiedź dla /admin:

HTTP/1.1 200 OK
x-opennext-cache: HIT

Protected content

Nieprawidłowo sformatowane ścieżki ujawniły dodatkową niespójność. Na przykład:

GET /%61dmin/%ZZ

Poprzednia implementacja dekodowała każdy segment niezależnie. Dekodowała ona %61dmin do admin, lecz zachowywała uszkodzony segment %ZZ, co pozwalało na kontynuowanie wyszukiwania w pamięci podręcznej z użyciem częściowo zdekodowanej ścieżki.

Poprawki

Poprawka ujednolica obsługę zakodowanych ścieżek między dopasowywaniem middleware a wyszukiwaniem w pamięci podręcznej oraz odrzuca nieprawidłowo sformatowane ścieżki zamiast częściowo je dekodować. Zobacz poprawki upstream w opennextjs-aws#1199 i opennextjs-aws#1200..

Użytkownicy powinni dokonać aktualizacji do wersji @opennextjs/cloudflare@1.20.2 lub nowszej.