Phát hiện kỹ thuật về Mongoose CVE-2025-23061 và CVE-2024-53900

Khi định nghĩa một lược đồ trong Mongoose, một trường có thể được thiết lập để tham chiếu đến một mô hình khác bằng tùy chọn ref. Sau đó, phương thức populate() được sử dụng để thay thế trường được tham chiếu (ObjectId) bằng toàn bộ tài liệu từ mô hình liên quan. Ví dụ, trong ứng dụng cửa hàng sách, trường tác giả trong bookSchema tham chiếu đến tài liệu Tác giả và trường đánh giá tham chiếu đến tài liệu Đánh giá . Phương thức populate() cho phép các nhà phát triển thay thế trường tác giả (là ObjectId) bằng toàn bộ tài liệu Tác giả khi truy vấn mô hình sách.

Phương thức populate() cho phép các nhà phát triển thay thế trường tác giả (là một ObjectId) bằng toàn bộ tài liệu Tác giả khi truy vấn mô hình sách :

Hơn nữa, phương thức populate() của Mongoose hỗ trợ các truy vấn tùy chỉnh để xác định các tài liệu liên quan nào được truy xuất và cách chúng được truy xuất. Các thuộc tính như match và options cho phép các nhà phát triển lọc, sắp xếp, giới hạn và bỏ qua các tài liệu liên quan, cung cấp khả năng truy xuất dữ liệu linh hoạt.

Trong ví dụ trên, tùy chọn match là một đối tượng bộ lọc có thể bao gồm các toán tử truy vấn MongoDB, như được trình bày chi tiết trong Query and Projection Operators - MongoDB Manual v8.0 . Một toán tử đáng chú ý là $where , cho phép thực thi JavaScript trực tiếp trên máy chủ MongoDB. Tuy nhiên, việc thực thi này trên máy chủ MongoDB bị hạn chế, chỉ hỗ trợ các hoạt động và chức năng cơ bản.

Dat Phung đã tiến hành phân tích chuyên sâu mã nguồn Mongoose để hiểu quy trình làm việc của phương thức populate() . Anh xác định rằng sau khi ứng dụng gọi phương thức populate() trên mô hình, hàm populate() sẽ được kích hoạt. Trong hàm này, Mongoose gọi hàm _execPopulateQuery() , hàm này thực thi truy vấn với toán tử $where trên máy chủ MongoDB. Sau đó, tất cả các tài liệu từ bộ sưu tập nước ngoài được truy xuất để điền vào các bước tiếp theo.

Sau khi lấy dữ liệu từ MongoDB, Mongoose thực thi hàm gọi lại _done() , gọi _assign() để chuẩn bị dữ liệu trước khi "nối" hai mô hình bằng cách gọi hàm assignmentVals() .

Lỗ hổng có thể phát sinh khi dữ liệu được truy xuất được xử lý bởi hàm assignmentVals() của Mongoose. Hàm này kiểm tra xem tùy chọn match có phải là một mảng hay không và nếu có, sẽ truyền từng toán tử cho hàm sift() . Hàm sift() , được nhập từ một thư viện bên ngoài cùng tên, xử lý các truy vấn này cục bộ trên máy chủ ứng dụng. Quá trình xử lý cục bộ này gây ra rủi ro bảo mật, đặc biệt là khi xử lý dữ liệu đầu vào do người dùng kiểm soát.

Để điều tra sâu hơn về vấn đề này, Đạt Phụng đã sửa đổi các giá trị trong tùy chọn khớp để đảm bảo các điều kiện được đáp ứng, do đó sử dụng hàm sift() để phân tích thêm luồng dữ liệu.

Với điều kiện được đặt ra, toán tử $where sau đó được truyền cho hàm sift() .

Thư viện sift là một tiện ích JavaScript nhẹ được thiết kế để lọc và truy vấn các tập hợp dữ liệu như mảng hoặc đối tượng JSON bằng cú pháp giống MongoDB. Theo tài liệu chính thức, "Sift là một thư viện nhỏ để sử dụng các truy vấn MongoDB trong JavaScript." Hàm sift() đánh giá các hoạt động lọc giống MongoDB trên máy chủ ứng dụng thay vì máy chủ cơ sở dữ liệu, điều này có thể khiến hệ thống gặp rủi ro bảo mật đáng kể khi xử lý đầu vào không đáng tin cậy.

Tiếp tục phân tích của mình, Fellow của chúng tôi đã xác định một vấn đề trong hàm createDefaultQueryTester() của thư viện sift. Hàm này chuyển đổi từng thao tác trong mảng match thành các hàm JavaScript có thể thực thi, sau đó được sử dụng để lọc và xử lý dữ liệu tài liệu MongoDB cục bộ. Để đạt được điều này, createDefaultQueryTester() gọi hàm createNamedOperation() , truyền các thao tác như $where từ mảng match làm đối số. 

Đối với mỗi thao tác trong mảng khớp , createNamedOperation sẽ kiểm tra xem thao tác đó có được hỗ trợ hay không, sau đó truyền thao tác đó cho hàm tương ứng.

Nếu phép toán là $where , một hàm JavaScript sẽ được tạo bằng cách sử dụng giá trị "params" thô, được lấy từ toán tử $where trong mảng match và có thể được kiểm soát bởi người dùng.

Ban đầu, truy vấn không thực hiện được quy trình khác, dẫn đến lỗi sau:

Lỗi này cho biết Mongoose cố gắng thực hiện thao tác $where trên máy chủ MongoDB trước khi chuyển quyền điều khiển cho hàm sift(). Tuy nhiên, do các hạn chế về hàm JavaScript trong mệnh đề $where của MongoDB, một lỗi xảy ra, ngăn không cho truy vấn thực hiện. Do đó, Mongoose dừng quy trình trước khi nó có thể tiếp cận hàm sift() .

Để bỏ qua hạn chế này, Fellow của chúng tôi đã tận dụng biến "toàn cục" có trên máy chủ ứng dụng, biến này không tồn tại trên máy chủ MongoDB. Cách tiếp cận này cho phép anh ấy bỏ qua hạn chế trên máy chủ MongoDB và cho phép truy vấn tiếp cận hàm sift() :

Với giá trị này, khi Mongoose thực thi thao tác $where trên MongoDB, việc không có biến "global" sẽ khiến toán tử ba ngôi (typeof global != "undefined" ?global.process.mainModule.constructor._load("child_process").exec("calc") : 1) trả về 1, ngăn MongoDB báo lỗi. Do đó, truy vấn được thực thi trên máy chủ MongoDB mà không có vấn đề gì.

Tuy nhiên, khi giá trị tương tự đạt đến hàm sift() chạy trên máy chủ ứng dụng có biến "toàn cục", nó sẽ kích hoạt việc tạo hàm sau:

Video trình bày Bằng chứng khái niệm cho CVE-2024-53900 ảnh hưởng đến các phiên bản Mongoose trước 8.8.3, thiếu xác thực đầu vào phù hợp để ngăn chặn việc sử dụng sai toán tử $where cùng với thư viện sift .

Đoạn mã này kiểm tra xem thuộc tính match được truyền vào populate() có phải là một mảng không. Nếu có, mã sẽ lặp qua từng đối tượng trong mảng để xem nó có chứa toán tử $where không. Nếu phát hiện thấy $where , một lỗi sẽ được đưa ra, ngăn chặn payload độc hại lan truyền đến hàm sift() rủi ro.  

Do đó, tải trọng khai thác CVE-2024-53900 không vượt qua được kiểm tra này vì một đối tượng trong mảng khớp chứa $where , do đó chặn không cho nó tiếp cận sift() .

Mặc dù bản cập nhật này chặn đúng cách việc sử dụng trực tiếp $where trong một cấp độ lồng nhau duy nhất, nhưng nó lại không phát hiện được $where khi nhúng bên trong toán tử $or - một cấu trúc mà cả MongoDB và thư viện sift đều hỗ trợ đầy đủ.

Kết quả là, kẻ tấn công có thể lồng $where bên dưới $or để tránh kiểm tra một cấp của bản vá. Vì Mongoose chỉ kiểm tra các thuộc tính cấp cao nhất của mỗi đối tượng trong mảng khớp, nên tải trọng bỏ qua vẫn không bị phát hiện và cuối cùng sẽ đến được thư viện sift, cho phép RCE độc hại.

Ngoài ra, CVE cũng có thể được phát hiện bởi MetaDefender Software Supply Chain , tận dụng MetaDefender Core với SBOM để xác định những lỗ hổng này.