MySQL npm包中的本地文件泄露漏洞

iso60001  1599天前

22.png

“A pure node.js javascript Client implementing the MySQL protocol.”

漏洞

在某次安全评估中,Synacktiv专家无意中发现某个应用可以从另一台MySQL服务器中读取敏感数据,而该应用程序正是使用了mysql的npm软件包。该npm软件包所支持的LOAD DATA LOCAL命令可让服务器读取客户端机器上的文件。 尽管用户可以通过指定标记LOCAL_FILES来禁用这个危险功能,但实际上该配置并不生效,最后导致恶意的MySQL服务器始终可以读取连接客户端本地的文件。

影响版本

文章发布时多个2.x版本受到影响(2.17.1受到影响)。

技术细节

根据官方文档的说法,mysql的npm包支持在进行连接时指定各种flag(某些设定参数),其中的LOCAL_FILES代表在客户端中是否可以使用LOAD DATA LOCAL命令。

以下示例显示了如何禁用该命令:

var mysql = require('mysql');

var connection = mysql.createConnection('mysql://test:test@127.0.0.1/test?flags=-LOCAL_FILES');

connection.connect();

connection.query('SELECT 1', function (error, results, fields) { });

connection.end();

通过抓包软件可以看到,LOAD DATA LOCAL是不可用的:

33.png

但是,服务器仍然可以要求连接过来的客户端读取本地文件,下图中的bettercap命令是Bettercap已经集成的一个简易恶意MySQL服务器,相关链接为https://github.com/bettercap/bettercap/wiki/mysql.server

44.png

可以从上图看出“/etc/passwd”已被读取。该漏洞存在的根本原因是LOCAL_FILES标记并没有在代码运行时起到作用。

66.png

时间线

2019/05/10:发现漏洞

2019/05/14:发送报告给官方

2019/05/14:官方确认收到

2019/05/15:同意90天漏洞公开期

2019/07/24:发送邮件询问最新进展,无回应

2019/10/24:发送邮件询问最新进展,无回应

2019/11/04:漏洞详情公开

感谢你的阅读!

本文由白帽汇整理并翻译,不代表白帽汇任何观点和立场
来源:https://www.synacktiv.com/ressources/advisories/Local_file_disclosure_mysql_npm_package_2.17.1.pdf

最新评论

昵称
邮箱
提交评论