Prototype Pollution

オブジェクトのプロパティアクセスに影響を与えることができる

プロトタイプとは？

JavaScriptにおける継承を実現する機構のこと

オブジェクト指向言語で言えば親クラスのようなもの

詳しくはMDNを読んでください

重要なこと

標準で非推奨の機能なので、将来削除される可能性がある

JavaScriptのプロパティアクセスはドットでも添字でもアクセスできる

Prototype Pollutionとは？

プロトタイプのプロパティに対して悪意のある書き込みを行い、そのオブジェクトをプロトタイプに持つ全てのオブジェクトのプロパティアクセスに対して影響を与える攻撃

code:poc.js

const obj = {}; // プロトタイプチェーンは obj => Object.prototype => null

// 攻撃者がObject.prototype.pollutedに書き込みを行う

// 別のオブジェクトを作成する

const obj2 = {}; // プロトタイプチェーンは obj2 => Object.prototype => null

console.log(obj2.polluted); // => pwned

上書きできるのは元のオブジェクトで定義されていないプロパティだけ

code:poc.js

const obj = {hoge: "original"}; // {hoge: "original"} => Object.prototype => null

// objにhogeプロパティが存在するため、プロトタイプにさかのぼらずにobj.hogeを出力する

console.log(obj.hoge) // => "original";

定義されてないプロパティを上書きするだけで脆弱性になるの？

危険なオプションを有効にしたり、外部からの書き込みが想定されていない部分に書き込んだりすることで攻撃につなげたりできる

対策

Object.prototype.hasOwnProperty.call(obj, "a") === true

攻撃テクニック

Gadgetを探す

一般に適用できるテクニックはないので、問題ごとにGadgetを探す必要があることが多い

既存のCVEや既知のgadgetを使うときもある

ソースコードやライブラリを調べてPrototype Pollutionで悪用できそうな未定義のプロパティを探す

過去の例

Asian Cyber Security Challange 2021 - Cowsay as a Service

CakeCTF 2022 - Panda Memo

MapleCTF 2022 - Viene Library

参加者ごとにインスタンスが提供されたり、毎回インスタンスが破棄される問題はPrototype Pollution (?)

Prototype Pollutionは性質上環境を永続的に汚染するので、複数の参加者がひとつのサーバーを共有する問題を壊れないように作るのは難しい

そのためPrototype Pollutionの問題はインスタンスは破棄されたり分けられたりすることが多いので、その形式ならPrototype Pollutionだろうというジンクス

もう古いかも

資料

クライアントサイドで発見されたPrototype Pollutionと悪用できる汚染先

CTFのWebセキュリティにおけるJavaScript,nodejsまとめ（Prototype pollution, 難読化）

Prototype pollutionの攻撃手法に関する発表のスライド