Scoperta tecnica di Mongoose CVE-2025-23061 e CVE-2024-53900

Quando si definisce uno schema in Mongoose, un campo può essere impostato per fare riferimento a un altro modello usando l'opzione ref. Il metodo populate() viene quindi utilizzato per sostituire il campo di riferimento (un ObjectId) con il documento completo del modello correlato. Ad esempio, in un'applicazione di libreria, il campo autore nel bookSchema fa riferimento al documento Autore e il campo recensione fa riferimento al documento Recensioni. Il metodo populate() consente agli sviluppatori di sostituire il campo autore (che è un ObjectId) con l'intero documento Author quando si interroga il modello del libro.

Il populate() consente agli sviluppatori di sostituire il campo autore (che è un ObjectId) con il documento autore completo quando si interroga il modello del libro:

Inoltre, il metodo populate() di Mongoose supporta query personalizzate per definire quali documenti correlati vengono recuperati e come vengono recuperati. Proprietà come match e options consentono agli sviluppatori di filtrare, ordinare, limitare e saltare i documenti correlati, offrendo funzionalità flessibili di recupero dei dati.

Nell'esempio precedente, l'opzione match è un oggetto filtro che può includere gli operatori di query di MongoDB, come illustrato nel manuale Query and Projection Operators - MongoDB Manual v8.0. Un operatore degno di nota è $where, che consente l'esecuzione di JavaScript direttamente sul server MongoDB. Tuttavia, l'esecuzione sul server MongoDB è limitata e supporta solo operazioni e funzioni di base.

Dat Phung ha condotto un'analisi approfondita del codice sorgente di Mongoose per comprendere il flusso di lavoro del metodo populate(). Ha determinato che dopo che l'applicazione chiama il metodo populate() sul modello, viene attivata la funzione populate(). All'interno di questa funzione, Mongoose chiama la funzione _execPopulateQuery() , che esegue la query con l'operatore $where sul server MongoDB. Successivamente, tutti i documenti della collezione straniera vengono recuperati per essere popolati nei passi successivi.

Dopo aver recuperato i dati da MongoDB, Mongoose esegue la funzione di callback _done(), che chiama _assign() per preparare i dati prima di "unire" i due modelli chiamando la funzione assignVals().

La vulnerabilità può verificarsi quando i dati recuperati vengono elaborati dalla funzione assignVals() di Mongoose. Questa funzione controlla se l'opzione match è un array e, in caso affermativo, passa ogni operatore alla funzione sift(). La funzione sift() , importata da una libreria esterna con lo stesso nome, elabora queste query localmente sul server dell'applicazione. Questa elaborazione locale presenta un rischio per la sicurezza, soprattutto quando si tratta di input controllati dall'utente.

Per approfondire questo aspetto, Dat Phung ha modificato i valori dell'opzione match per garantire che le condizioni fossero soddisfatte, invocando così la funzione sift() per un'ulteriore analisi del flusso di dati.

Con la condizione in atto, l'operatore $where è stato successivamente passato alla funzione sift().

La libreria sift è una leggera utility JavaScript progettata per filtrare e interrogare collezioni di dati come array o oggetti JSON utilizzando una sintassi simile a quella di MongoDB. Secondo la documentazione ufficiale, "Sift è una piccola libreria per utilizzare le query MongoDB in JavaScript". La funzione sift() valuta le operazioni di filtro simili a MongoDB sul server dell'applicazione invece che sul server del database, il che può esporre il sistema a rischi significativi per la sicurezza quando si elaborano input non attendibili.

Continuando la sua analisi, il nostro collega ha identificato un problema nella funzione createDefaultQueryTester() della libreria sift. Questa funzione converte ogni operazione dell'array match in funzioni JavaScript eseguibili, che vengono poi utilizzate per filtrare ed elaborare localmente i dati dei documenti MongoDB. A tale scopo, createDefaultQueryTester() richiama la funzione createNamedOperation(), passando come argomenti operazioni come $where dall'array di corrispondenze. 

Per ogni operazione nell'array match, createNamedOperation verifica se l'operazione è supportata e la passa alla funzione corrispondente.

Se l'operazione è $where, viene generata una funzione JavaScript usando il valore grezzo "params", che deriva dall'operatore $where nell'array match e può essere controllato dall'utente.

Inizialmente, la query non è riuscita a eseguire un altro processo, generando il seguente errore:

Questo errore indica che Mongoose tenta di eseguire l'operazione $where sul server MongoDB prima di passare il controllo alla funzione sift(). Tuttavia, a causa delle restrizioni sulle funzioni JavaScript nella clausola $where di MongoDB, si verifica un errore che impedisce l'esecuzione della query. Di conseguenza, Mongoose arresta il processo prima di raggiungere la funzione sift() .

Per aggirare la limitazione, il nostro collega ha sfruttato la variabile "global" presente sull'application server, che non esiste sul server MongoDB. Questo approccio gli ha permesso di aggirare la restrizione sul server MongoDB e di consentire alla query di raggiungere la funzione sift():

Con questo valore, quando Mongoose esegue l'operazione $where su MongoDB, l'assenza della variabile "global" fa sì che l'operatore ternario (typeof global != "undefined" ?global.process.mainModule.constructor._load("child_process").exec("calc") : 1) per restituire 1, evitando che MongoDB lanci un errore. Di conseguenza, la query viene eseguita sul server MongoDB senza problemi.

Tuttavia, quando lo stesso valore raggiunge la funzione sift(), che viene eseguita sul server dell'applicazione in cui è disponibile la variabile "globale", si attiva la creazione della funzione seguente:

Il video mostra il Proof of Concept per la CVE-2024-53900 che interessa le versioni di Mongoose precedenti alla 8.8.3, che mancano di un'adeguata convalida dell'input per prevenire l'uso improprio dell'operatore $where insieme alla libreria sift.

Questo frammento controlla se la proprietà match passata in populate() è un array. Se lo è, il codice itera ogni oggetto dell'array per vedere se contiene l'operatore $where. Se viene rilevato $where, viene sollevato un errore, impedendo al payload dannoso di propagarsi alla rischiosa funzione sift().  

Di conseguenza, il payload che sfrutta la CVE-2024-53900 non supera questo controllo perché un oggetto nell'array match contiene $where, impedendogli di fatto di raggiungere sift().

Mentre questo aggiornamento blocca correttamente l'uso diretto di $where all'interno di un singolo livello di annidamento, non riesce a rilevare $where quando è incorporato all'interno di un operatore $or, una struttura che sia MongoDB che la libreria sift supportano pienamente.

Di conseguenza, un aggressore può annidare $where sotto $o per eludere il controllo a livello singolo della patch. Poiché Mongoose ispeziona solo le proprietà di primo livello di ogni oggetto nell'array di corrispondenza, il payload di aggiramento non viene rilevato e alla fine raggiunge la libreria sift, consentendo l'RCE dannoso.

Inoltre, i CVE possono essere rilevati anche da MetaDefender Software Supply Chainche sfrutta MetaDefender Core con SBOM per identificare queste vulnerabilità.