Server-Side Template Injection im Benachrichtigungssystem

mercure ist eine quelloffene DICOM-Orchestrierungsplattform; wir schätzen die schnelle, konstruktive Reaktion der Maintainer auf diesen Bericht. Wenn eine DICOM-Serie zu einer Routing-Regel passt, kann mercure eine Benachrichtigung auslösen, deren Text ein vom Administrator konfiguriertes Template ist.

Dieser Text wird mit Jinja2s nacktem Template() gerendert, ohne SandboxedEnvironment, ohne Autoescape und ohne Validierung des Template-Inhalts:

from jinja2 import Template

def parse_payload(payload, event, rule_name, task_id, details="", context={}, *,
                  task=None, tags_list=None):
    payload_parsed = payload
    payload_parsed = payload_parsed.replace("@rule@", rule_name)
    payload_parsed = payload_parsed.replace("@task_id@", task_id)
    payload_parsed = payload_parsed.replace("@event@", event.name)
    # ... Kontext-Setup ...
    return Template(payload_parsed).render(context)  # ungesichertes Jinja2

Jinja2s Standardumgebung erlaubt Attributzugriff, sodass dieselbe Objekt-Traversierung greift, die auch die eval()-Sandbox der Routing-Regeln aushebelt: Von einem String-Literal aus wird die Basisklasse object erreicht, ihre Subklassen aufgezählt und __import__ für beliebige Befehlsausführung zurückgewonnen. Die 0.4.1-Release-Notes des Herstellers bestätigen, dass die Templates "rendered without sandboxing, allowing arbitrary code execution on every matching DICOM series" wurden. Wir veröffentlichen keinen funktionsfähigen Payload.

Die Benachrichtigungs-Template-Felder erhalten keine Bereinigung. strip_untrusted() wird auf das Feld tags angewandt, nicht auf einen Benachrichtigungstext:

notification_payload_body=form.get("notification_payload_body", ""),  # keine Bereinigung
notification_email_body=form.get("notification_email_body", ""),      # keine Bereinigung

Einen Benachrichtigungstext an einer Regel zu hinterlegen, den Webhook auf eine beliebige URL zu setzen und den Empfangs-Trigger aktiviert zu lassen (Standard für neue Regeln) genügt: Der Router rendert das Template bei jeder passenden Serie, bevor der Webhook gesendet wird, sodass der eingeschleuste Code im Router-Prozess läuft. Dieser Prozess erreicht das gemeinsame Dateisystem, Redis, die durchlaufenden DICOM-Daten und weitere Container, was den Scope-Wechsel ausmacht. Der Payload bleibt in mercure.json bestehen und ist gültiges Jinja2, ähnelt also einem normalen Template.

Die Befehlsausführung als Benutzer mercure im Router wird durch die Ausgabe eines eingeschleusten id-Kommandos bestätigt:

uid=1000(mercure) gid=1000(mercure) groups=1000(mercure)