Command Injection über unquotierte Target-Felder in Verbindungstests

mercure ist eine quelloffene DICOM-Orchestrierungsplattform; wir schätzen die schnelle, konstruktive Reaktion der Maintainer auf diesen Bericht. Wenn ein Administrator ein Dispatch-Target (ein Ziel für verarbeitete Studien) konfiguriert, bietet die Weboberfläche eine Schaltfläche "Test", die die Konnektivität prüft.

Der Test jedes Target-Typs baut Shell-Kommandos aus den Feldern des Targets und führt sie über eine Shell aus. Der DICOM-Test interpoliert vier Felder ohne Quoting in ping und echoscu:

async def test_connection(self, target: DicomTarget, target_name: str):
    target_ip = target.ip or ""
    target_port = target.port or ""
    target_aec = target.aet_target or "ANY-SCP"
    target_aet = target.aet_source or "ECHOSCU"

    if target_ip and target_port and not loopback_mode:
        ping_result, *_ = await async_run(f"ping -w 1 -c 1 {target_ip}")       # unquotiert
        # ...
        cecho_result, *_ = await async_run(
            f"echoscu -to 2 -aec {target_aec} -aet {target_aet} {target_ip} {target_port}"
        )

DICOM+TLS fügt Schlüssel-, Zertifikats- und CA-Pfade hinzu, also sieben injizierbare Felder; SFTP interpoliert Host, Benutzer und Ordner. async_run() nutzt immer eine Shell, sodass Metazeichen in jedem Feld interpretiert werden:

Ein Administrator, der ein beliebiges Feld auf einen Wert mit Shell-Kommandosubstitution setzt und Test klickt, führt dieses Kommando als Benutzer mercure aus; der Test gibt weiterhin Erfolg zurück, sodass es keinen sichtbaren Hinweis gibt. Der Test-Endpunkt selbst erfordert nur eine authentifizierte Sitzung, sodass jeder angemeldete Benutzer ihn auslösen kann, sobald ein bösartiges Target existiert. Wir veröffentlichen keinen funktionsfähigen Payload. Das SFTP-Passwort ist eine separate Instanz desselben Musters, behandelt im Advisory zur SFTP-Passwort-Injection.

Das sichere Muster ist bereits vorhanden: Der rsync-Handler baut Kommandos als Argumentlisten und führt sie mit async_run_exec() aus (keine Shell).

result, stdout, stderr = await async_run_exec(*c)   # create_subprocess_exec, keine Shell

Die Befehlsausführung als Benutzer mercure wird durch die Ausgabe eines eingeschleusten id-Kommandos bestätigt:

uid=1000(mercure) gid=1000(mercure) groups=1000(mercure)