Code Injection durch eval()-Sandbox-Ausbruch in den Routing-Regeln

mercure ist eine quelloffene DICOM-Orchestrierungsplattform; wir schätzen die schnelle, konstruktive Reaktion der Maintainer auf diesen Bericht. Die Routing-Engine entscheidet anhand vom Administrator definierter Regelausdrücke, wohin jede eingehende DICOM-Serie geleitet wird.

Diese Ausdrücke werden mit Pythons eval() ausgewertet, das nur durch ein leeres builtins-Mapping abgesichert ist:

safe_eval_cmds = {"float": float, "int": int, "str": str, "len": len, "bool": bool,
                  "sum": sum, "round": round, "max": max, "min": min, "abs": abs,
                  "pow": pow, "chr": chr, "ord": ord}

def eval_rule(rule: str, tags_dict: Dict[str, str]) -> Any:
    # ...
    rule = replace_tags(rule, tags_dict)
    # ...
    tags_obj = Tags(tags_dict)
    result = eval(rule, {"__builtins__": {}}, {**safe_eval_cmds, "tags": tags_obj})
    # ...
    return result, tags_obj.tags_accessed()

Ein leeres __builtins__ entfernt den direkten Zugriff auf eingebaute Funktionen, verhindert aber keine Objekt-Traversierung: Von einem beliebigen Literal aus lässt sich die Basisklasse object erreichen, ihre Subklassen aufzählen und eine Klasse finden, die die echte Import-Maschinerie freilegt, womit __import__ und beliebige Befehlsausführung zurückgewonnen werden. Die 0.4.1-Release-Notes des Herstellers beschreiben dies als "trivially bypassed via MRO class traversal". Wir veröffentlichen keinen funktionsfähigen Payload.

Das Feld rule erreicht die Auswertung ohne Validierung. HTML-Bereinigung wird auf das Feld tags angewandt, nicht auf rule:

testrule = form["rule"]  # rohe Formulareingabe, keine Validierung
testvalues = json.loads(form["testvalues"])
result, attrs_accessed = rule_evaluation.eval_rule(testrule, testvalues)

Zwei Pfade erreichen die Senke. /rules/test wertet den Ausdruck sofort aus und gibt das Ergebnis in der HTTP-Antwort zurück, sodass Befehlsausgaben und Dateiinhalte direkt an den Aufrufer zurückfließen. Eine über /rules/edit/{rule} gespeicherte Regel wird in mercure.json persistiert und läuft bei jeder vom Router ausgewerteten DICOM-Serie, was persistente Ausführung ergibt.

Die Auswertung läuft im Prozess der Weboberfläche (Sofort-Pfad) oder im Router-Prozess (gespeicherter Pfad), sodass die Ausführung das gemeinsame Dateisystem, Redis und das übrige Docker-Netzwerk erreicht. Die Scope-Change-Metrik spiegelt das wider.

Die Befehlsausführung als Benutzer mercure wird durch die zurückgegebene Ausgabe eines eingeschleusten id-Kommandos bestätigt:

uid=1000(mercure) gid=1000(mercure) groups=1000(mercure)