HFS 2.x multipart上传文件名模板注入未授权RCE

HFS 2.x 未授权 RCE — multipart 上传文件名模板注入 漏洞概述 漏洞类型：未授权远程代码执行 (RCE) 漏洞原理：HFS 2.x 在处理 multipart 上传时，将文件名作为 符号写入服务器端模板符号映射，但未对 与 转义——而模板中的 、 两个字段都做了转义。同时模板引擎的 是顺序全局替换，会因当前文件名本身含有 文本时，该值会被二次替换，攻击者由此把一个未转义的表达式进行伪装。该值中的 会触发模板引擎的 引用区，使其后的 宏被注入宏分发器。攻击者对该分支不做任何鉴权，直接以 HFS 进程权限执行任意系统命令。单个 HTTP 请求即可触发，无需认证。 与 CVE-2024-23692 的区别： 入口点：CVE-2024-23692 是请求 查询参数；本漏洞是 multipart 上传文件名 逃逸手法：CVE-2024-23692 是 + 宏 使 缩略为 ；本漏洞是文件名含 触发二次替换， 直接终结引用区 未转义汇点：CVE-2024-23692 是 / 符号路径；本漏洞是 的 字段 影响版本：CVE-2024-23692 是 （ ）；本漏洞是 2.4.0 RC7，不在上一行范围内 影响范围 受影响版本：2.4.0 RC7 (build 319, 实测)；2.4 全系列（v2.4-alpha87 ~ v2.4-rc07）及 master 的 2.4.0 RC8 源码 CVSS v3.1：9.8 Critical (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) CVSS v4.0：9.3 Critical (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:N) 认证要求：无需认证、无需会话、无需用户交互 修复方案 临时缓解 不要将 HFS 2.x 暴露于不可信网络；将监听限制在可信内网或 VPN 在反向代理层过滤 multipart 参数中的 、 、 、 以低权限用户运行 HFS，使其不具备执行命令的能力 若无上传功能，关闭所有未启用的匿名名校验 —— 注意这只能缓解：注入发生在上传失败提示的渲染中，不要求上传成功 根治 1. 在统一的安全边界上转义，隔离模板文件名： - 中 函数，将 字段改为 - 同时建议把 （或等效编码器）应用于 中所有来自 / 文件名的字段，而不只是 2. 让 的替换结果不再参与后续匹配，使被代入的值不可能再被当作符号名二次扫描： - 中 函数，将 改为 3. 为宏分发器引入鉴权模型，使特权分支在无相应能力时不可触发： - 中，在 分支前增加 检查，否则执行 修复验证 重放 PoC 应现不出现命令 oracle、也不出现命令输出；文件名应呈现字面转义形态（如 ）而非被展开的宏 以 可重放作为回归测试 POC 代码 4.1 模板求值 oracle 响应： ```http HTTP/1.1 200 OK [ { "err":"Not allowed.", "name":"kItem-resource7000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

HFS 2.x multipart上传文件名模板注入未授权RCE

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

HFS 2.x multipart上传文件名模板注入未授权RCE

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！