Remote Code Execution über XSLT-Attribute-Coercion

Beschreibung

String xsltStylesheetURI = coercion.getSchemeSpecificPart();
Templates tpls = TemplatesCache.getDefault().get(StringUtils.replaceSystemProperties(xsltStylesheetURI));
Attributes newAttrs = SAXTransformer.transform(attrs, tpls, false,

public Templates get(String uri) throws TransformerConfigurationException {
    Templates tpl = map.get(uri);
    if (tpl == null)
        map.put(uri, tpl = SAXTransformer.newTemplates(new StreamSource(uri)));
    return tpl;
}

private static SAXTransformerFactory factory =
        (SAXTransformerFactory) TransformerFactory.newInstance();

Auswirkung

• Codeausführung im Archivprozess bringt den Zugriff mit sich, den das Archiv selbst auf den von ihm verwalteten Bildbestand hat. Der Prozess verwahrt die gespeicherten DICOM-Objekte und die Datenbank, die sie indexiert. Studien und die daran hängenden Patientenkennungen lassen sich daher lesen, verändern oder löschen, und die Zugangsdaten, die das Archiv für seine eigenen Backend-Dienste hält, sind in diesem Kontext lesbar.
• Die Bewertung bezieht sich auf die Bereitstellung, die die Projektdokumentation zuerst vorstellt und in der die Konfigurationsschnittstelle ohne Authentifizierung antwortet. Wird stattdessen der abgesicherte Build betrieben, verlangt die Konfigurationsschnittstelle lediglich die Basisrolle, die das mitgelieferte Konto mit geringen Rechten ohnehin besitzt. Die Kette bleibt dort für jeden authentifizierten Nutzer erreichbar und ist nicht geschlossen.

Abhilfe

Auf dcm4chee-arc-light 5.35.0 oder neuer aktualisieren, wo JAXP Secure Processing auf dem XSLT-Pfad aktiv ist. Bis dahin lässt sich die Angriffsfläche verringern, indem der Applikationsserver mit der JVM-Eigenschaft jdk.xml.enableExtensionFunctions auf false gestartet wird, was den Schritt zur Befehlsausführung unterbindet, ohne Attribute Coercion abzuschalten, und indem Konfigurations- und Steuerungsschnittstellen, der DICOM-Port und das LDAP-Konfigurationsbackend auf vertrauenswürdige Netze beschränkt werden.

Checkliste für Betreiber

• Aktualisieren, oder Java-Erweiterungsfunktionen sofort abschalten.

  5.35.0 härtet die gemeinsam genutzte Transformer-Factory. Ist ein sofortiges Update nicht möglich, den Applikationsserver mit jdk.xml.enableExtensionFunctions auf false starten. Das entfernt den Schritt vom Stylesheet zum Betriebssystembefehl, lässt Attribute Coercion aber funktionsfähig, und es ist eine einzelne JVM-Eigenschaft statt einer Konfigurationsmigration.

• Die aktuell konfigurierten Attribute Coercions prüfen.

  Die Coercion-Regeln des Archivgeräts auflisten und jede prüfen, die eine xslt:-URI benennt. Ein Stylesheet-Ort, der entfernt liegt oder außerhalb des Verzeichnisses, aus dem die Installation Stylesheets ausliefern soll, ist als verdächtig zu behandeln. Coercions sind Konfiguration, überdauern also Neustarts und ein Update.

• Sich nicht darauf verlassen, nur die HTTP-Schnittstelle zu sperren.

  Ist eine Regel erst hinterlegt, löst sie auf Leseabfragen und auf rohem C-FIND oder C-STORE am DICOM-Port aus. Die DICOMweb-Schnittstelle einzuschränken verhindert nicht, dass eine bereits hinterlegte Regel läuft; wirksam ist nur, den Konfigurationsschreibzugriff von vornherein zu unterbinden.

• Konfigurations- und Steuerungsschnittstellen einschränken.

  Das Archiv bietet keine Möglichkeit, seine Geräte- und Steuerungsressourcen getrennt von gewöhnlichen Nutzern auf Administratoren zu beschränken. Die Grenze muss deshalb außerhalb der Anwendung gezogen werden, an einem Reverse Proxy oder im Netz. Das LDAP-Konfigurationsbackend braucht dieselbe Behandlung, da ein Schreibzugriff dort denselben Code-Pfad erreicht.

• Ein exponiertes Archiv als offengelegt behandeln.

  War die Konfigurationsschnittstelle aus einem nicht vertrauenswürdigen Netz erreichbar, ist davon auszugehen, dass die in der Archivkonfiguration hinterlegten Zugangsdaten für Datenbank, Storage-Backends und LDAP-Backend bekannt sind. Diese sollten gewechselt werden.

Bewertung im Detail

Referenzen

• GHSA-5j3q-rhfh-xvx8 (dcm4che)
• dcm4chee-arc-light Issue 4984 (Hersteller-Fix)
• dcm4che Issue 1594 (Härtung der Bibliothek)
• dcm4chee-arc-light 5.35.0 Release
• dcm4chee-arc-light Repository
• Verwandt: Storage-Descriptor File Write in dcm4chee-arc-light
• Verwandt: XML External Entity Injection in dcm4chee-arc-light
• Verwandt: Vendor-Data-Extraktion in dcm4chee-arc-light

So können wir helfen

• MDR-Penetrationstests
• §17 MPBetreibV