Podatności Mongoose

Mongoose przechowuje opcję sanitizeFilter na poziomie połączenia w Connection.config, ale Query.prototype._castConditions() i rzutowanie zapytań sprawdzają inne lokalizacje opcji i nie odczytują tej konfiguracji. Aplikacja, która włącza sanitizeFilter przez mongoose.connect() lub createConnection() i przekazuje obiekt kontrolowany przez atakującego do filtra zapytania, otrzymuje połączenie raportujące włączoną ochronę, podczas gdy obiekty selektorów pozostają niesanityzowane. Wykorzystanie operatora zapytania w haśle może dopasować konto bez znajomości literalnego hasła.

Mongoose przed wersjami 6.13.12, 7.8.13, 8.24.7 i 9.11.4 pozwala na budowanie zagnieżdżonych ścieżek wirtualnych przez Schema.prototype.virtual() bez walidacji właściwości specjalnych stosowanej w Schema.path() i Schema.add(). Atakujący mogący wpływać na nazwy pól wirtualnych może dostarczyć segmenty takie jak __proto__, constructor lub prototype, powodując zanieczyszczenie prototypu Object.prototype lub Function.prototype. Może to fałszować dziedziczone sprawdzenia właściwości, np. flagi autoryzacji.

Mongoose może schodzić do właściwości dziedziczonych podczas ładowania dokumentów w init(), ustawiania ścieżek z kropkami w $__set oraz scalania dokumentów aktualizacji w utils.mergeClone. Klucze kontrolowane przez atakującego, takie jak toString lub valueOf, mogą spowodować zapis do współdzielonych funkcji wbudowanych zamiast do własnej właściwości. Spreparowany dokument, ścieżka Mixed, dokument nieścisły lub źródło Query.prototype.merge() może nadpisać Object.prototype.toString.call, powodując awarie późniejszych zapytań na niezwiązanych modelach do czasu restartu procesu. Dodatkowo, gdy atakujący kontroluje ścieżkę z kropkami przekazaną do doc.set() dla poddokumentu z strict: false, zejście przez $__set może dotrzeć do $__schema i zmienić współdzielone walidatory lub opcje schematu.

Mongoose przed wersjami 6.13.12, 7.8.13, 8.24.7 i 9.11.4 używa wartości klucza dyskryminatora kontrolowanych przez atakującego (w tym domyślnego pola __t) do indeksowania rejestrów obiektów, takich jak Model.discriminators i schema.discriminators, bez wymagania własnej właściwości. Wartości takie jak constructor, toString lub hasOwnProperty mogą wskazywać na dziedziczone funkcje wbudowane, powodując pomieszanie typów w konstrukcji modeli, tworzeniu dokumentów, hydracji, rzutowaniu zapytań i aktualizacji oraz operacjach populate. W ścieżce bulkWrite() insertOne z skipValidation wartość constructor może spowodować zapis surowego obiektu bez rzutowania schematu, a zatruty dokument może powodować błędy wszystkich zapytań do momentu jego usunięcia.

W bibliotece Mongoose funkcja countDocuments() nie stosuje skonfigurowanej ochrony sanitizeFilter przed wstrzykiwaniem selektorów zapytań. Aplikacja, która włącza sanitizeFilter i przekazuje do countDocuments() wartości filtrów kontrolowane przez atakującego, może przetwarzać obiekty operatorów zapytań jako operatory zamiast wartości literalnych. Może to zaniżać lub zawyżać liczbę wyników i podważać logikę autoryzacji opartą na tej liczbie.

Podatność w Mongoose przed wersją 7.22 pozwala zdalnemu nieuwierzytelnionemu atakującemu na wysłanie żądania HTTP zawierającego zarówno Content-Length, jak i Transfer-Encoding: chunked. Kontrolery cl_count i te_count akceptują oba nagłówki i priorytetyzują kodowanie chunked, co prowadzi do desynchronizacji CL.TE i umożliwia wstrzyknięcie żądań w kontekście innego użytkownika.

Podatność w Mongoose przed wersją 7.22 umożliwia zdalnemu nieuwierzytelnionemu atakującemu wykorzystanie wdrożenia z odwrotnym proxy HTTP/1.0 poprzez wysłanie żądania z Transfer-Encoding: chunked i sprzecznym framingiem. Funkcja http_cb() testuje hm.proto.len z niemożliwym warunkiem większym niż osiem, co powoduje, że is_http_1_0 nigdy nie jest ustawiane, a Mongoose przetwarza chunked encoding, które proxy HTTP/1.0 może zignorować.

Podatność w Mongoose przed wersją 7.22 pozwala atakującemu sieciowemu z certyfikatem wildcard dla domeny nadrzędnej na podszywanie się pod głębsze subdomeny wobec klienta używającego wbudowanego stosu TLS. Funkcje mg_tls_verify_cert_san() i mg_tls_verify_cert_cn() wywołują mg_match(), którego wildcard może przekraczać granice etykiet DNS, więc wzorzec taki jak *.example.com może pasować do foo.bar.example.com.

Podatność w Mongoose przed wersją 7.23 pozwala atakującemu sieciowemu na podszywanie się pod serwer TLS wobec klienta Mongoose skonfigurowanego z pakietem wielu certyfikatów CA. Funkcja mg_tls_init() przechowuje pakiet w tls->ca_bundle_der, podczas gdy tls->ca_der.len pozostaje zerowe, a mg_tls_recv_cert() używa tls_bundle_find() do akceptacji dopasowania Common Name bez weryfikacji podpisu certyfikatu.

W Mongoose przed wersją 7.22 funkcja mg_path_is_sane w src/util.c odczytywała path.buf[1] bez uprzedniego sprawdzenia, czy path.len wynosi co najmniej dwa, oraz odczytywała s[2], gdy pozostały tylko dwa bajty. Nieuwierzytelnione zdalne żądania do mg_http_upload lub mg_http_serve_dir z krótkimi ścieżkami mogły wywołać jednobajtowe odczyty poza granicami sterty.

Mongoose, wbudowany serwer webowy i biblioteka sieciowa, przed wersją 7.23 nie odrzuca opcji TCP, której zadeklarowana długość opts[1] przekracza pozostałe bajty opcji. W handle_opt() sekwencja NOP, po której następuje obcięta opcja MSS, powoduje odczyt opts[3] poza zadeklarowanym obszarem opcji i użycie go jako dolnego bajtu dmss. Nieuwierzytelniony zdalny peer może uszkodzić wartość MSS dla połączenia, przez co późniejsze wywołania mg_send() wysyłają obcięte lub zerowej długości ładunki aplikacji, podczas gdy połączenie TCP wygląda na sprawne.

Mongoose, wbudowany serwer webowy i biblioteka sieciowa, przed wersją 7.23 w parserze certyfikatów TLS wybieranym przez MG_TLS_BUILTIN nie weryfikuje, czy długość elementu DER w formacie long-form mieści się w pozostałym buforze certyfikatu. W mg_der_to_tlv() i mg_der_next() długość kontrolowana przez peera może przesunąć parser poza certyfikat i spowodować niedomiar pozostałej długości uint32_t, przez co mg_tls_parse_cert_der() kontynuuje pracę na nieprawidłowym wskaźniku. Nieuwierzytelniony złośliwy serwer TLS lub klient przedstawiający certyfikat serwerowi skonfigurowanemu do certyfikatów klienta może wywołać odczyt poza zakresem i odmowę usługi podczas uzgadniania.

Mongoose, wbudowany serwer webowy i biblioteka sieciowa, przed wersją 7.23 w stosie TLS wybieranym przez MG_TLS_BUILTIN w src/tls_builtin.c akceptuje rekord TLS 1.3, którego odszyfrowany rozmiar wynosi dokładnie 16 bajtów znacznika uwierzytelniającego, bez tekstu jawnego i bajtu ContentType. W mg_tls_recv_record() sprawdzenie długości msgsz przepuszcza taki rekord, a obliczenie recv_len ulega niedomiarowi do SIZE_MAX, przez co późniejszy krok uzgadniania traktuje nieaktualną zawartość bufora jako zaufaną wiadomość o praktycznie nieograniczonej długości. Nieuwierzytelniony złośliwy peer TLS może wywołać odczyt poza zakresem sterty przed walidacją certyfikatu lub Finished, powodując zdalną odmowę usługi.

Mongoose, wbudowany serwer webowy i biblioteka sieciowa, przed wersją 7.23 w funkcji ppp_handle_ipv6cp() w src/l2_ppp.c ufa 16-bitowemu polu len IPv6CP bez sprawdzenia go względem rozmiaru odebranego ładunku. W łączu PPP lub PPPoE używającym MG_ENABLE_TCPIP i MG_ENABLE_IPV6 nieuwierzytelniony sąsiadujący peer może zakończyć wymaganą wymianę LCP i wysłać krótki Configure-Request z nadmierną długością, powodując odczyt poza recv_queue.buf i zapis poza tx.buf w ppp_tx_frame(). To samo nadużycie długości może również ujawnić sąsiednie bajty sterty w odpowiedzi lub zawiesić pętlę zdarzeń przez find_opt().

Mongoose to wbudowany serwer WWW i biblioteka sieciowa. Przed wersją 7.22 zdalny atakujący może wysłać spreparowaną ścieżkę zakodowaną procentowo do wdrożenia używającego MG_ENABLE_DIRLIST i nakłonić użytkownika do jej odwiedzenia. Funkcje mg_http_serve_dir() i listdir() w src/http.c umieszczają zdekodowany URI żądania w elementach title i h1 bez kodowania encji HTML. Powstały odbity cross-site scripting wykonuje się w kontekście Mongoose i może ujawnić dane sesji lub wykonać działania jako ofiara. Problem naprawiono w wersji 7.22.

Mongoose to wbudowany serwer WWW i biblioteka sieciowa. Przed wersją 7.22 zdalny atakujący może umieścić pojedynczy znak powrotu karetki lub nowej linii w danych multipart przetwarzanych przez mg_http_next_multipart() w src/http.c. Pętle porównujące s[b] i s[b+1] oraz s[h2] i s[h2+1] używają nieprawidłowego warunku AND i zatrzymują się, gdy którykolwiek znak przypomina część terminatora CRLF. To skraca nagłówki, nazwy plików lub granice i może spowodować, że aplikacja zaakceptuje niebezpieczną zawartość po zobaczeniu mylącej wartości Content-Type. Problem naprawiono w wersji 7.22.

Mongoose to wbudowany serwer WWW i biblioteka sieciowa. Przed wersją 7.22 atakujący, który może kontrolować plik z włączonym SSI, może umieścić sekwencje traversal katalogów w dyrektywie #include file lub #include virtual. Funkcja mg_ssi() w src/ssi.c łączy argument dyrektywy ze ścieżką systemu plików bez wywołania mg_path_is_sane(), co pozwala wdrożeniu z MG_ENABLE_SSI i skonfigurowanym ssi_pattern na ujawnienie plików czytelnych dla procesu Mongoose. Problem naprawiono w wersji 7.22.

Mongoose to wbudowany serwer WWW i biblioteka sieciowa. Przed wersją 7.22 atakujący, który może utworzyć plik z ładunkiem HTML w nazwie, może wywołać trwały cross-site scripting, gdy użytkownik przegląda katalog serwowany z MG_ENABLE_DIRLIST. Funkcja printdirentry() wywoływana przez listdir() w src/http.c koduje URL w href, ale wstawia surową nazwę pliku do tekstu linku HTML. Przeglądarka wykonuje wstrzyknięty kod w kontekście Mongoose, co może ujawnić dane sesji lub umożliwić działania jako ofiara. Problem naprawiono w wersji 7.22.

Mongoose przed wersjami 6.13.10, 7.8.10, 8.24.1 i 9.7.2 ma podatność na zanieczyszczenie prototypu przez przekazanie kontrolowanego przez użytkownika update z kropkowaną ścieżką __proto__.x w $set. Proces castowania może ustawić właściwości na Object.prototype, co wpływa na integralność i dostępność aplikacji.

Mongoose, narzędzie do modelowania obiektów MongoDB, przed wersjami 6.13.9, 7.8.9, 8.22.1 i 9.1.6 miało podatność, która pozwalała na obejście mechanizmu sanitizacji zapytań sanitizeFilter za pomocą operatora $nor. Operator ten nie był odpowiednio sanitizowany, co umożliwiało wstrzykiwanie złośliwych operatorów.

W Cesanta Mongoose do wersji 7.20 wykryto podatność w funkcji mg_aes_gcm_decrypt pliku /src/tls_aes128.c, w komponencie GCM Authentication Tag Handler. Manipulacja prowadzi do nieprawidłowej weryfikacji podpisu kryptograficznego. Atak można przeprowadzić zdalnie, ale charakteryzuje się wysoką złożonością i trudną wykorzystywalnością; exploit został publicznie ujawniony.

W komponencie WebSocket biblioteki Mongoose w wersjach od 7.5 do 7.17 występuje podatność na przepełnienie liczb całkowitych. Wysyłając specjalnie spreparowane żądanie WebSocket, atakujący może spowodować awarię aplikacji. Jeśli podmioty zależne nieprawidłowo zintegrują ten komponent, problem może prowadzić do przepełnienia bufora.