XSS-sanitizer-omzeiling in @nuxtjs/mdc via SVG xlink:href en data:text/html

Wat is er gebeurd

@nuxtjs/mdc verwerkt Markdown met allowDangerousHtml standaard ingeschakeld en vertrouwt op sanitatiefuncties (validateProps, validateProp en unsafeLinkPrefix) om uitvoerbare URL's uit niet-vertrouwde Markdown te verwijderen vóór weergave. In deze sanitatielogica zijn twee specifieke lacunes gevonden waardoor kwaadaardige inhoud alsnog kan doorglippen en in de browser kan worden uitgevoerd.

Technische oorzaak

De sanitizer kent twee naast elkaar bestaande lacunes. Ten eerste controleert validateProp alleen attributen die letterlijk href of src heten, maar een SVG-attribuut geschreven als xLinkHref (dat xlink:href representeert) wordt niet gecontroleerd. Hierdoor kan een javascript:-URL in dat attribuut worden uitgevoerd binnen de oorsprong van de pagina zelf zodra het element wordt geactiveerd. Ten tweede vergelijkt de blokkeerlijst voor data:text/html-waarden alleen het protocol-onderdeel van de URL, namelijk data:. Dit betekent dat een iframe met als src data:text/html de sanitatie volledig doorstaat en wordt uitgevoerd zodra het iframe laadt, binnen een opake oorsprong. Andere gevaarlijke constructies — gewone href javascript:-URL's, srcdoc, object, script en base-elementen — worden al correct geblokkeerd door de bestaande sanitizer; deze twee paden zijn smalle, specifieke uitzonderingen daarop.

Waarom dit belangrijk is

Elke applicatie die Markdown uit niet-vertrouwde of door gebruikers aangeleverde bronnen weergeeft met @nuxtjs/mdc in de standaardconfiguratie, loopt risico op het uitvoeren van scripts in de browser. Dit kan leiden tot sessiekaping, diefstal van inloggegevens of andere acties die worden uitgevoerd binnen de beveiligingscontext van een ingelogde gebruiker, afhankelijk van hoe de weergegeven inhoud wordt getoond en welke rechten de bekijkende gebruiker heeft.

Wie wordt getroffen

Elk project dat het npm-pakket @nuxtjs/mdc gebruikt om Markdown uit niet-vertrouwde bronnen weer te geven, in een versie vóór 0.22.1, wordt getroffen. Het risico concentreert zich bij applicaties die Markdown-invoer van gebruikers of externe bronnen accepteren en deze weergeven met de standaard allowDangerousHtml-configuratie.

Getroffen versies

Alle versies van @nuxtjs/mdc vóór versie 0.22.1 zijn getroffen.

Oplossingen en mitigatie

Het probleem is verholpen in @nuxtjs/mdc versie 0.22.1. Projecten die dit pakket gebruiken, dienen te updaten naar deze versie of hoger.

Aanbevolen actie

Update @nuxtjs/mdc naar versie 0.22.1. Als onmiddellijk updaten niet mogelijk is, overweeg dan om allowDangerousHtml uit te schakelen voor niet-vertrouwde Markdown-bronnen en pas aanvullende sanitatie van de uitvoer toe als tijdelijke mitigatie totdat de update kan worden doorgevoerd.