Podatności Angular

Angular w wersjach przed 20.3.30, 21.2.22 i 22.1.4 ma podatność w renderowaniu po stronie serwera (SSR) w @angular/platform-server. Funkcje resolveUrl i parseUrl wywołują String.prototype.trim(), co usuwa wiodące białe znaki Unicode po sprawdzeniu same-origin, przekształcając ścieżkę względną w kontrolowany przez atakującego URL protokołu względnego, prowadząc do SSRF i ujawnienia danych uwierzytelniających.

Angular przed wersjami 20.3.34 i 21.0.3 ma funkcję xsrfInterceptorFn w @angular/common HttpClient, która używa wyrażenia regularnego nienormalizującego adresów URL żądań w taki sam sposób jak parser WHATWG w przeglądarce. Przy włączonej ochronie XSRF mutujące żądanie HTTP do adresu URL kontrolowanego przez atakującego, zawierającego odwrotne ukośniki, usunięte znaki kontrolne lub spacje albo usuwalne białe znaki ASCII, może zostać błędnie zaklasyfikowane jako względne i tego samego pochodzenia, co powoduje dołączenie nagłówka X-XSRF-TOKEN przed wysłaniem żądania do hosta cross-origin.

W Angular przed wersjami 20.3.33, 21.2.25 i 22.2.1 komponent ServerPlatformLocation w renderowaniu po stronie serwera (SSR) sprawdza adresy URL względne protokołu przed normalizacją WHATWG URL. Ścieżka żądania zawierająca segment kropki i wiele ukośników może ominąć sprawdzenie resolveUrl i znormalizować się do ścieżki rozpoczynającej się od dwóch ukośników. Gdy Angular SSR wykryje niezgodność z końcową lokalizacją routera, może umieścić tę ścieżkę w nagłówku HTTP Location, powodując przekierowanie przeglądarki do domeny kontrolowanej przez atakującego. Podatne są aplikacje używające @angular/platform-server i @angular/ssr, które udostępniają określone kształty tras lub przekazują cele nawigacji kontrolowane przez użytkownika przez infrastrukturę zachowującą segmenty kropek lub średniki. Czysto klienckie SPA nie są podatne.

Podatność w @angular/router podczas renderowania po stronie serwera w Node.js pozwala nieuwierzytelnionemu atakującemu wysyłać spreparowane żądania z wieloma nieskonfigurowanymi grupami outletów o pustej ścieżce. Powoduje to wielokrotne przetwarzanie konfiguracji tras, tworzenie zduplikowanych drzew ActivatedRouteSnapshot oraz wykonywanie strażników canMatch i resolverów, co może wyczerpać stertę lub CPU i zakończyć proces roboczy SSR. Problem naprawiono w wersjach 20.3.33, 21.2.25 i 22.2.1.

W wersjach Angular od 21.2.0 do 21.2.25 i 22.2.1 dyrektywy RouterLink renderowane podczas SSR w Node.js zachowują obliczone instancje UrlTree przez cały czas trwania żądania. Gdy queryParamsHandling ustawiono na merge lub preserve, każdy wyrenderowany link może przechowywać kopię kontrolowanych przez atakującego parametrów zapytania, co przy dużych ciągach zapytań może wyczerpać stertę old-space i zakończyć proces roboczy SSR. Problem naprawiono w wersjach 21.2.25 i 22.2.1.

W Angular przed wersjami 20.3.32, 21.2.24 i 22.2.0 parser URL @angular/router przechowuje numeryczne nazwy parametrów macierzy i numeryczne nazwy outletów jako właściwości na początkowo pustych obiektach JavaScript podczas renderowania po stronie serwera w Node.js. V8 może interpretować te klucze pochodzące z URL jako indeksy tablicy i alokować gęste magazyny o rozmiarze odpowiadającym wysokim wartościom numerycznym, więc powtarzające się małe segmenty ścieżki powodują nieproporcjonalne zużycie sterty na segment. Nieuwierzytelniony atakujący może wysyłać nakładające się żądania zawierające powtarzające się numeryczne parametry macierzy, gdy SSR jest włączone, router bezpośrednio parsuje URL żądania, a proxy nadrzędne zezwalają na średniki i wiele segmentów ścieżki, ostatecznie wyczerpując stertę old-space Node.js i kończąc proces roboczy SSR. Czysto klienckie aplikacje Angular nie są dotknięte.

Angular to platforma do budowania aplikacji webowych; w wersjach przed 20.3.31, 21.2.23 i 22.1.6 parser emulacji DOM w @angular/platform-server może wejść w nieskończoną pętlę synchroniczną, gdy renderowanie po stronie serwera przetwarza kontrolowany przez atakującego HTML zawierający niekompletny DOCTYPE kończący się białym znakiem na końcu danych. W Domino lib/HTMLParser.js stan after_doctype_name_state emituje tokeny doctype i EOF bez przesuwania nextchar, przez co skaner wielokrotnie przetwarza ten sam znacznik EOF. Zdalny nieuwierzytelniony atakujący może wykorzystać ten warunek przez ścieżki parsowania HTML po stronie serwera, takie jak wiązanie innerHTML, aby zużyć pełne CPU workera SSR Node.js, zagłodzić pętlę zdarzeń i zatrzymać równoczesne oraz kolejne żądania. Problem naprawiono w wersjach 20.3.31, 21.2.23 i 22.1.6.

Angular w wersjach przed 20.3.30, 21.2.22 i 22.1.4 ma podatność w renderowaniu po stronie serwera (SSR) w @angular/platform-server. Serializacja niezaufanych danych wewnątrz elementów fallback raw-content (noscript, iframe, noembed, noframes) nie escapuje pasujących tagów zamykających, co umożliwia wykonanie dowolnego kodu JavaScript.

W Angularze w wersjach przed 20.3.28, 21.2.20 i 22.1.1 mechanizm @angular/common HttpTransferCache może zapisać w pamięci podręcznej uwierzytelnioną odpowiedź, gdy renderowanie po stronie serwera (SSR) i hydratacja używają hierarchicznego HttpClient skonfigurowanego z withRequestsMadeViaParent. Podrzędny TransferCache ocenia początkowo anonimowe żądanie przed delegacją, a następnie nadrzędny łańcuch withInterceptors dodaje nagłówek Authorization, cookie lub token API; mimo że nadrzędny cache pomija uwierzytelnione żądanie, podrzędny nadal zapisuje prywatną odpowiedź w TransferState serializowaną jako JSON w skrypcie ng-state. Późniejszy nieuwierzytelniony lub nieuprawniony odwiedzający może otrzymać buforowany HTML zawierający dane wrażliwe wcześniejszego uwierzytelnionego użytkownika.

Angular w wersjach przed 20.3.30, 21.2.22 i 22.1.4 ma podatność w renderowaniu po stronie serwera (SSR) w @angular/platform-server. Serializacja węzłów ProcessingInstruction wewnątrz elementów fallback raw-content nie escapuje pasujących tagów zamykających, co pozwala na przedwczesne zamknięcie kontenera i wykonanie dowolnego kodu JavaScript.

W Angularze w wersjach przed 20.3.28, 21.2.20 i 22.1.0 kompilator i środowisko uruchomieniowe w @angular/core i @angular/compiler mogły pominąć lub wybrać nieprawidłowy sanitizer dla wrażliwych na bezpieczeństwo powiązań host bindings dyrektyw, ponieważ SecurityContext był wyznaczany na podstawie selektora deklarującej dyrektywy lub komponentu, a nie konkretnego elementu hosta. Niezgodność jest osiągalna przez kompozycję hostDirectives, dziedziczone deklaracje HostBinding, createComponent z niestandardowym hostElement lub dynamicznymi dyrektywami, elementy przestrzeni nazw SVG/MathML oraz selektory neutralne dla tagów, takie jak :not(...). Kontrolowane przez atakującego wartości href, src, action, xlink:href lub data mogą w ten sposób trafić do atrybutów DOM bez wbudowanego sanitizera Angulara i wykonać dowolny JavaScript w kontekście przeglądarki użytkownika.

Angular przed wersjami 20.3.27, 21.2.19 i 22.0.1 zawiera podatność w potoku i18n kompilatora Angular, która pozwala na użycie atrybutów obsługi zdarzeń i18n-onerror i innych i18n-on. Umożliwia to plikowi tłumaczenia o niższym zaufaniu zastąpienie statycznego handlera wykonywalnym kodem JavaScript.

Angular przed wersjami 20.3.27, 21.2.19 i 22.0.7 zawiera podatność na Cross-Site Scripting (XSS) w zależności DOM emulacji @angular/platform-server (domino) podczas serializacji zawartości elementów zastępczych surowej zawartości (<iframe>, <noembed>, <noframes> i <noscript>).

Angular przed wersjami 20.3.27, 21.2.19 i 22.0.2 zawiera podatność w HttpTransferCache, która łączy przecinkami powtarzające się parametry żądania. Pozwala to semantycznie różnym żądaniom HttpClient używać tego samego klucza pamięci podręcznej transferu i ponownie wykorzystać nieprawidłową odpowiedź backendu.

W Angularze wykryto podatność na atak XSS w komponencie @angular/platform-server podczas renderowania treści w elemencie <noscript> przy użyciu SSR. Problem wynika z błędnego serializowania zawartości przez bibliotekę domino, która nie ucieka znacznika </noscript>, co pozwala na wstrzyknięcie złośliwego kodu JavaScript.

W Angularze wykryto podatność na Cross-Site Scripting (XSS) w zależności DOM emulacji @angular/platform-server (domino) podczas serializacji treści elementów raw-text, takich jak <script>, <style> i <iframe>. Błąd w obliczeniach indeksów Unicode powoduje, że dynamiczny tekst zawierający znaki astralne (np. emotikony) przed znacznikiem zamykającym nie jest poprawnie escapowany, co umożliwia wstrzyknięcie kodu JavaScript. Luka została załatana w wersjach 22.0.0-rc.2, 21.2.16, 20.3.24 i 19.2.25.

Podatność DOM Clobbering w Angularze umożliwia atakującemu podmianę kontenera stanu SSR (ng-state) poprzez wstrzyknięcie elementu HTML z tym samym identyfikatorem. Podczas hydracji klienta Angular odczytuje dane z fałszywego elementu, co może prowadzić do wykonania kodu lub kradzieży danych.

Podatność w Angularze przed wersjami 22.0.1, 21.2.17 i 20.3.25 pozwala atakującemu na podmianę odpowiedzi HTTP w pamięci podręcznej TransferState podczas renderowania po stronie serwera (SSR). Słaby 32-bitowy hash DJB2 używany do generowania kluczy pamięci podręcznej umożliwia znalezienie kolizji, co prowadzi do nadpisania wrażliwych danych odpowiedzią z innego żądania.

W Angularze wykryto podatność w pakietach @angular/compiler i @angular/core, która pozwala na obejście mechanizmów sanityzacji elementów i atrybutów poprzez użycie przestrzeni nazw. Atakujący może wstrzyknąć złośliwy szablon z niestandardową przestrzenią nazw, co prowadzi do wykonania skryptów po stronie klienta (XSS).

Podatność XSS w potoku internacjonalizacji (i18n) Angulara pozwala na wykonanie dowolnego kodu JavaScript w aplikacji, jeśli atakujący skompromituje plik tłumaczeń. Problem dotyczy wersji przed 21.2.0, 21.1.16, 20.3.17 i 19.2.19, gdzie HTML z przetłumaczonych komunikatów ICU nie był odpowiednio sanityzowany.

Podatność w pakiecie angular (wersje od 1.3.0) oraz angularjs (wersje od 1.3.0) wynika z użycia wyrażenia regularnego do dzielenia wartości atrybutu ng-srcset, które jest podatne na katastroficzne cofanie się (backtracking). Przy odpowiednio spreparowanym, dużym wejściu może to prowadzić do przeciążenia i odmowy usługi (DoS). Pakiet jest wycofany (EOL) i nie otrzyma poprawek.