ApostropheCMS: Nieuwierzytelnione żądania importu CSV pozostawiają odrzucone pliki w systemowym katalogu tymczasowym

Podsumowanie

Odrzucony plik może pozostać w katalogu tymczasowym systemu operacyjnego.

Multer zapisuje plik przed zweryfikowaniem jego rozszerzenia, a ścieżka obsługi odrzucenia nie usuwa tego pliku tymczasowego. Nieuwierzytelniony użytkownik może powtarzać tę operację z użyciem dużych plików i stopniowo wyczerpywać przestrzeń dyskową na pliki tymczasowe.

Szczegóły

Punkt końcowy (endpoint):

POST /api/v1/@apostrophecms/rich-text-widget/generate-csv-table

W packages/apostrophe/modules/@apostrophecms/rich-text-widget/lib/apiRoutes.js Multer najpierw zapisuje przesyłany plik do os.tmpdir(). Następnie procedura obsługi odrzuca nazwy plików, których rozszerzenie jest inne niż csv, jednak na tej ścieżce błędu brakuje czyszczenia pliku zapisanego przez Multer.

Ścieżka ta nie wymaga uwierzytelnionego użytkownika. Wystarczy standardowe ciasteczko CSRF.

Podczas testów żądanie zwróciło odpowiedź HTTP 400 z Only csv files are supported, podczas gdy cała przesłana zawartość pozostała po odpowiedzi w pliku o losowej nazwie w skonfigurowanym katalogu tymczasowym.

Związek z wcześniejszymi pracami publicznymi

Przeanalizowano PR #5013,, w ramach którego ścieżka przesyłania plików CSV w formacie Rich Text została zmigrowana z connect-multiparty do biblioteki Multer. Niniejsze zgłoszenie dotyczy czyszczenia po tej migracji: odrzucony plik Multer pozostaje na dysku, co nie zostało opisane w PR ani w powiązanej dyskusji w ramach przeglądu kodu.

Dowód koncepcji (PoC)

Utwórz mały plik testowy. Do zademonstrowania zapełniania dysku można użyć większego pliku, lecz 1 MiB wystarcza do bezpiecznego lokalnego odtworzenia problemu:

dd if=/dev/zero of=rejected.txt bs=1M count=1

Pobierz standardowe ciasteczka witryny i wyślij odrzucany plik:

curl -c cookies.txt 'http://127.0.0.1:3000/' > /dev/null

curl -i -b cookies.txt \
  -F 'file=@rejected.txt;filename=rejected.txt;type=text/plain' \
  'http://127.0.0.1:3000/api/v1/@apostrophecms/rich-text-widget/generate-csv-table'

Odpowiedź to HTTP 400. Porównaj zawartość systemowego katalogu tymczasowego przed i po żądaniu:

ls -lt /tmp

Nowy plik o losowej nazwie pozostaje na dysku i zawiera przesłane bajty.

Logowanie nie jest wymagane. Powtarzanie żądania multipart tworzy kolejne trwałe pliki tymczasowe.

Wpływ

Zdalny, nieuwierzytelniony atakujący może zapełnić partycję używaną przez katalog tymczasowy systemu operacyjnego. Po wyczerpaniu miejsca na tej partycji Apostrophe oraz inne, niezwiązane usługi na tym samym hoście mogą nie być w stanie przesyłać plików, tworzyć danych tymczasowych ani kontynuować normalnego działania.

Atak wymaga jedynie powtarzania żądań HTTP, a zapisane pliki pozostają na dysku po każdej odrzuconej odpowiedzi.