Command Injection über den subservice-Log-Parameter

mercure ist eine quelloffene DICOM-Orchestrierungsplattform; wir schätzen die schnelle, konstruktive Reaktion der Maintainer auf diesen Bericht. Die Weboberfläche enthält einen Log-Viewer für die Dienste von mercure.

Wenn die systemd-Unit eines Dienstes als Liste konfiguriert ist (der Dienst "workers" in der Standardkonfiguration), liest der Log-Viewer einen Query-Parameter subservice und interpoliert ihn in ein über eine Shell ausgeführtes journalctl-Kommando:

service_name_or_list = services.services_list[requested_service]["systemd_service"]
if isinstance(service_name_or_list, list):
    service_name = request.query_params.get("subservice", "missing")
    # ...
    sub_services = service_name_or_list

run_result = await async_run(
    f"sudo journalctl -n 1000 -u "
    f'{service_name} '
    f"{start_date_cmd} {end_date_cmd} "
    "-o short-iso --no-hostname"
)

async_run() führt sein Argument immer über eine Shell aus, sodass Metazeichen im Parameter interpretiert werden:

async def async_run(cmd, **params) -> Tuple[Optional[int], bytes, bytes]:
    proc = await asyncio.create_subprocess_shell(
        cmd, stdout=asyncio.subprocess.PIPE, stderr=asyncio.subprocess.PIPE, **params
    )
    stdout, stderr = await proc.communicate()
    return proc.returncode, stdout, stderr

Ein Semikolon im Wert von subservice teilt das Kommando; der eingeschleuste Teil läuft unabhängig als Benutzer mercure, unabhängig davon, ob journalctl erfolgreich ist. Der Endpunkt gibt 200 zurück und die Log-Ansicht erscheint leer, sodass es keinen sichtbaren Hinweis gibt. Wir veröffentlichen keinen funktionsfähigen Payload.

Dies betrifft nur systemd-Installationen. Der Docker-Code-Pfad liest denselben Parameter, übergibt ihn aber an einen Docker-SDK-Aufruf statt an eine Shell und ist daher nicht injizierbar. Auf systemd-Installationen besitzt der Benutzer mercure zudem NOPASSWD-sudo für journalctl und systemctl auf mercure-Diensten, sodass die eingeschleuste Shell Dienste stoppen oder neu starten und die Daten und Anmeldedaten lesen kann, die dem Benutzer gehören.

Die Befehlsausführung als Benutzer mercure wird durch die Ausgabe eines eingeschleusten id-Kommandos bestätigt:

uid=1000(mercure) gid=1000(mercure) groups=1000(mercure)