Jinja: From_string फ़ंक्शन (SSTI) में कमांड इंजेक्शन

को निर्मित 18 फ़र॰ 2019 · 1टिप्पणी · स्रोत: pallets/jinja

अपेक्षित् व्यवहार

from_string पैरामीटर स्वीकार करता है जो बच नहीं गए हैं, इसलिए एक हमलावर टेम्पलेट में कोड इंजेक्ट कर सकता है।

वास्तविक व्यवहार

कुछ भी बीत जाने से बचना चाहिए।

अतिरिक्त जानकारी और अवधारणा का प्रमाण

https://github.com/JameelNabbo/Jinja2-Code-execution
https://www.exploit-db.com/exploits/46386

स्रोत

mostafa

सबसे उपयोगी टिप्पणी

जिस उपयोगकर्ता ने उस रेपो और सीवीई को बनाया है, वह नहीं जानता कि वे किस बारे में बात कर रहे हैं, और दुर्भाग्य से अब हमें इसे संबोधित करते रहना होगा क्योंकि उन्होंने गैर-जिम्मेदारी से लोगों के एक समूह को आधिकारिक रूप से गैर-मुद्दे के बारे में सूचित किया था। . उनकी प्रतिक्रिया के लिए https://github.com/JameelNabbo/Jinja2-Code-execution/issues/1 देखें। मैंने सीवीई को अमान्य करने के लिए एमआईटीईआर को एक अनुरोध भेजा है।

यह कहना कि जिना में भेद्यता है क्योंकि from_string मौजूद है, यह कहने जैसा है कि प्रत्येक गतिशील भाषा असुरक्षित है क्योंकि eval मौजूद है, या प्रत्येक SQL लाइब्रेरी असुरक्षित है क्योंकि वे SQL स्ट्रिंग्स का मूल्यांकन करते हैं। मुद्दा उन पुस्तकालयों के साथ नहीं है, जो सभी उपयोगकर्ता इनपुट को संभालने के लिए उचित उपकरण प्रदान करते हैं। SQL लाइब्रेरी में इंजेक्शन भेद्यता नहीं है, SQL लाइब्रेरी का उपयोग करने वाला प्रोजेक्ट अनुचित तरीके से करता है।

यदि आप अभी भी अविश्वसनीय टेम्पलेट्स को संकलित करने का जोखिम उठाना चाहते हैं तो SandboxedEnvironment का उपयोग किया जाना चाहिए, और अविश्वसनीय चर प्रदान करते समय autoescape का उपयोग किया जाना चाहिए।

davidism 18 फ़र॰ 2019

👍6

>सभी टिप्पणियाँ