Command Injection über unquotiertes SFTP-Passwort

mercure ist eine quelloffene DICOM-Orchestrierungsplattform; wir schätzen die schnelle, konstruktive Reaktion der Maintainer auf diesen Bericht. mercure kann verarbeitete Studien an ein SFTP-Target ausliefern, und die Weboberfläche bietet eine Schaltfläche "Test", um die Verbindung zu prüfen.

Der SFTP-Test baut ein sshpass-Kommando und interpoliert das konfigurierte Passwort ohne Quoting hinein:

async def test_connection(self, target: SftpTarget, target_name: str):
    ping_result, *_ = await async_run(f"ping -w 1 -c 1 {target.host}")
    # ...
    command = "sftp -o StrictHostKeyChecking=no " + f''' "{target.user}@{target.host}:{target.folder}" <<< "" '''
    if target.password:
        command = f"sshpass -p {target.password} " + command    # unquotierte Injection
    logger.debug(command)                                        # Passwort wird auf DEBUG geloggt
    result, stdout, stderr = await async_run(command, shell=True, executable="/bin/bash")

async_run() führt den String über eine Shell aus, sodass $(...)-Kommandosubstitution im Passwort ausgewertet wird, bevor sshpass überhaupt läuft:

async def async_run(cmd, **params) -> Tuple[Optional[int], bytes, bytes]:
    proc = await asyncio.create_subprocess_shell(
        cmd, stdout=asyncio.subprocess.PIPE, stderr=asyncio.subprocess.PIPE, **params
    )
    stdout, stderr = await proc.communicate()
    return proc.returncode, stdout, stderr

Ein Administrator, der das SFTP-Passwort auf einen Wert mit Kommandosubstitution setzt und Test klickt, führt dieses Kommando als Benutzer mercure aus; sshpass erhält dann ein leeres Passwort und die Verbindung schlägt fehl, aber das eingeschleuste Kommando ist bereits gelaufen. Der Test-Endpunkt erfordert nur eine authentifizierte Sitzung, sodass jeder angemeldete Benutzer ein gespeichertes bösartiges Target auslösen kann. Wir veröffentlichen keinen funktionsfähigen Payload.

Nur der Test-Pfad ist ausnutzbar. Der eigentliche Datei-Dispatch-Pfad baut das Kommando als Liste (über shlex.split), was die Injection neutralisiert. Die übrigen Target-Felder werden im Advisory zu unquotierten Target-Feldern behandelt.

Der rsync-Handler zeigt das sichere Muster: Er übergibt das Passwort als Listenelement und führt es mit async_run_exec() aus (keine Shell).

sshpass_cmd=["sshpass", "-p", target.password],    # Liste, keine Shell-Interpretation

Die Befehlsausführung als Benutzer mercure wird durch die Ausgabe eines eingeschleusten id-Kommandos bestätigt:

uid=1000(mercure) gid=1000(mercure) groups=1000(mercure)