HFS 2.x Unauthenticated RCE via Multipart Filename Template Injection

HFS 2.x 未授权 RCE — multipart 上传文件名模板注入 漏洞概述 漏洞类型：未授权远程代码执行 (RCE) 漏洞原理：HFS 2.x 在处理 multipart 上传时，将文件名作为 符号写入服务器端模板符号映射，但未对 与 进行转义——而模板中的 、 两个字段均做了转义。同时，模板引擎的 采用顺序全局替换机制，当文件名本身包含 文本时，该值会被二次替换，攻击者借此将一个未转义的表达式进行伪装。该值中的 会触发模板引擎的 引用区，使其后的 宏被注入宏分发器。攻击者对该分支未实施任何鉴权，直接以 HFS 进程权限执行任意系统命令。单个 HTTP 请求即可触发，无需认证。 与 CVE-2024-23692 的区别： 入口点：CVE-2024-23692 利用的是请求中的 查询参数；本漏洞利用的是 multipart 上传文件名 逃逸手法：CVE-2024-23692 是利用 配合宏 使 缩略为 ；本漏洞是利用文件名包含 触发二次替换， 直接终结引用区 未转义汇点：CVE-2024-23692 是 / 符号路径；本漏洞是 的 字段 影响版本：CVE-2024-23692 适用于 （ ）；本漏洞影响 2.4.0 RC7，不在上述版本范围内 影响范围 受影响版本：2.4.0 RC7 (build 319, 实测)；2.4 全系列（v2.4-alpha87 ~ v2.4-rc07）以及 master 分支的 2.4.0 RC8 源码 CVSS v3.1：9.8 Critical (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) CVSS v4.0：9.3 Critical (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:N) 认证要求：无需认证、无需会话、无需用户交互 修复方案 临时缓解 不要将 HFS 2.x 暴露于不可信网络；将监听限制在可信内网或 VPN 在反向代理层过滤 multipart 参数中的 、 、 、 以低权限用户运行 HFS，使其不具备执行命令的能力 若无上传功能，关闭所有未启用的匿名名校验 —— 注意这只能缓解：注入发生在上传失败提示的渲染中，并不要求上传成功 根治 1. 在统一的安全边界上转义，隔离模板文件名： - 在 的 函数中，将 字段的处理改为 - 同时建议将 （或等效编码器）应用于 中所有来自 / 文件名的字段，而不仅仅是 2. 使 的替换结果不再参与后续匹配，确保被代入的值不可能再被当作符号名进行二次扫描： - 在 的 函数中，将 改为 3. 为宏分发器引入鉴权模型，确保特权分支在缺乏相应权限时不可触发： - 在 中，于 分支前增加 检查，否则执行 修复验证 重放 PoC 不应出现命令 oracle，也不应出现命令输出；文件名应呈现字面转义形态（如 ）而非被展开的宏 可使用 进行重放以作为回归测试 POC 代码 4.1 模板求值 oracle 响应： ```http HTTP/1.1 200 OK [ { "err":"Not allowed.", "name":"kItem-resource70000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000000

目標達成すべての支援者に感謝 — 100%達成しました！

HFS 2.x Unauthenticated RCE via Multipart Filename Template Injection

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

HFS 2.x Unauthenticated RCE via Multipart Filename Template Injection

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！