Saglabātā starpvietņu skriptošana CERT.LV rīkā Graphoscope caur augšupielādes failu nosaukumiem

§ 01. Pārskats

Graphoscope ir CERT.LV atvērtā koda analīzes platforma. Analītiķi no vienas tīmekļa saskarnes veic vaicājumus daudzos neatkarīgos datu avotos – pasīvajā DNS, klientu datubāzēs, nopludinātu piekļuves datu kopās un citos – un redz rezultātus kā saistītu entītiju grafu. Papildus interaktīvai meklēšanai lietotāji var augšupielādēt indikatoru sarakstu pakešapstrādei: serveris veic vaicājumus visos pieslēgtajos avotos un atgriež apstrādātu pārskatu.

OffSeq konstatēja, ka augšupielādētā faila nosaukums no augšupielādes pieprasījuma atgriezās lapā bez validācijas vai kodēšanas, tādēļ īpaši veidots faila nosaukums kļuva par saglabātu skriptu augšupielādētāja Graphoscope sesijā.

§ 02. Cēlonis

/upload apstrādātājs ņēma header.Filename – multipart galvenes Content-Disposition vērtību filename=, ko pilnībā kontrolē klients – un saglabāja to MongoDB (users.uploads.in). Pēc tam tā pati virkne caur WebSocket tika nosūtīta atpakaļ paša augšupielādētāja sesijām ziņojumos uploaded, upload-processed un upload-lists, un serveris to iekļāva arī paziņojumu tekstā.

Klienta pusē assets/js/notifications.js un assets/js/user-actions.js šīs vērtības ierakstīja lapā ar innerHTML. Tādēļ jebkurš marķējums faila nosaukumā tika apstrādāts kā HTML:

1curl -sk -b "$JAR" "https://127.0.0.1:8443/upload" \2  -F "source=demo" -F "format=json" -F "field=name" \3  -F "startTime=2024-01-01T00:00:00.000Z" \4  -F "endTime=2030-01-01T00:00:00.000Z" \5  -F "file=@/tmp/p.txt;filename=<img src=x onerror=alert(1)>.txt"

§ 03. Ietekme

Faila nosaukums tiek atgriezts tikai kontam, kas to augšupielādēja, tāpēc uzbrucējs failu neaugšupielādē pats – viņš panāk, ka to izdara analītiķis. Tā ir platformas ierastā darba plūsma: analītiķi augšupielādē indikatoru sarakstus, ko kopīgojuši partneri un citas komandas. Saraksts ar īpaši veidotu nosaukumu izpilda skriptu analītiķa sesijā, tiklīdz viņš to augšupielādē, un atkal ikreiz, kad tiek attēlots viņa profila augšupielāžu saraksts. Uzbrucējam nav vajadzīgs Graphoscope konts; Linux un macOS pieļauj <, > un pēdiņas failu nosaukumos, tāpēc nosaukums piegādes laikā saglabājas.

Platformā, kas apkopo organizācijas izlūkošanas avotus, skripts analītiķa sesijā var nolasīt vaicājumu rezultātus, indikatoru sarakstus un visu pārējo, ko saskarne šim lietotājam rāda, kā arī rīkoties saskarnē viņa vārdā. Sesijas sīkdatnes ir HttpOnly un SameSite=Strict, tāpēc skripts nevar nolasīt sesijas sīkdatni, un neviena cita vietne nevar izraisīt augšupielādi.

§ 04. Labojums

OffSeq iesniedza labojumu, kas problēmu novērš jau servera pusē, failā upload.go. Apstrādātājs tagad iesniegtajam nosaukumam piemēro filepath.Base() un pieņem to tikai tad, ja tas atbilst stingram atļauto simbolu sarakstam:

1reSafeFilename = regexp.MustCompile(`^[A-Za-z0-9 ._-]{1,200}$`)

Neatbilstošs nosaukums tiek noraidīts, pirms jebkas tiek ierakstīts augšupielādes rindā vai MongoDB, izmantojot to pašu atbildes ceļu kā pārējās apstrādātāja kļūdas. Parasti nosaukumi, piemēram, indicators.txt vai IOCs - 2026-05.csv, tiek augšupielādēti kā līdz šim.

Tā kā saglabātajā vērtībā nekas bīstams vairs nenonāk, uzbrukuma vektora novēršanai saskarnes izmaiņas nebija vajadzīgas. Tā pati pārbaude bloķē arī ceļa daļas un NUL vai vadības simbolus nosaukumos. Atlikušo innerHTML izsaukumu aizstāšana ar textContent tika ieteikta kā atsevišķs papildu aizsardzības darbs. CERT.LV izmaiņas iekļāva kā izmaiņu pieprasījumu #10.