Ericcornelissen

Em sistemas Unix onde o shell é explicitamente configurado como "sh" ou true e `/bin/sh` aponta para o BusyBox, o software falha ao escapar adequadamente caracteres de til (~) em contextos de atribuição. Um invasor que forneça entradas não confiáveis para as APIs `escape()` e `escapeAll()` em uma atribuição prefixada a um comando pode injetar um payload de til. Isso pode levar à divulgação da localização do diretório home do usuário ou alterar o diretório no qual um comando opera.

O Shescape é uma biblioteca de escape de shell em JavaScript. Existe uma falha na qual um atacante pode ser capaz de contornar o escape do shell em uso, potencialmente levando à exposição de informações sensíveis. Este problema impacta usuários que configuram a opção `shell` para apontar para um arquivo no disco que é um link simbólico para outro link simbólico. O resultado de um exploit bem-sucedido depende do shell específico em uso e de como o Shescape o identifica. A prova de conceito fornecida demonstra o bypass usando um payload elaborado com a variável `userInput` e a função `shescape.escape()`. O exemplo usa o endpoint `/api/v1/exec` para executar comandos.

A validação insuficiente de parâmetros nas APIs `Deno.makeTemp*` permitiria a criação de arquivos fora dos diretórios permitidos. Isso pode permitir que o usuário sobrescreva arquivos importantes no sistema, o que pode afetar outros sistemas. Um usuário pode fornecer um prefixo ou sufixo a uma API `Deno.makeTemp*` contendo caracteres de traversal de caminho.

The issue affects users of Shescape on Windows in a threaded context, allowing attackers to bypass protections by exploiting Shescape's failure to correctly escape for the expected shell. This can occur when the expected default system shell is different from the one actually used, such as when configuring the use of PowerShell but Shescape defaults to escaping for CMD instead.

An attacker may be able to get read-only access to environment variables. This issue affects users of Shescape on Windows using the Windows Command Prompt, and when using `quote`/`quoteAll` or `escape`/`escapeAll` with the `interpolation` option set to `true`. For example, an attacker can exploit this by using a payload like `%PATH%` in the `shescape.quote()` or `shescape.escape()` functions, allowing them to access the contents of the PATH environment variable.

Um problema de complexidade ineficiente de expressões regulares afeta usuários do Shescape que o utilizam para escapar argumentos em shells Unix, incluindo Bash e Dash, particularmente ao usar as funções `escape` ou `escapeAll` com a opção `interpolation` definida como `true`. Isso permite que um invasor cause backtracking polinomial ou tempo de execução quadrático em relação ao comprimento da string de entrada devido a expressões regulares vulneráveis. Uma solução alternativa envolve impor um comprimento máximo às strings de entrada para reduzir o impacto da vulnerabilidade.

O problema afeta usuários das funções `escape` ou `escapeAll` com a opção `interpolation` definida como `true`. Se um invasor conseguir incluir espaços em branco em sua entrada, ele poderá invocar comportamentos específicos do shell ou comandos arbitrários por diversos meios, incluindo caracteres especiais do shell, avanço de linha ou retorno de carro. Isso afeta vários shells, incluindo Bash, Dash, Zsh e PowerShell.

A vulnerabilidade afeta usuários do Shescape que utilizam qualquer função da API para escapar argumentos do cmd.exe no Windows. Um invasor pode omitir todos os argumentos que se seguem à sua entrada incluindo um caractere de avanço de linha (` `) na carga maliciosa. Isso permite a injeção de código no Windows.

A vulnerabilidade permite a exposição do diretório home em sistemas Unix ao usar o Bash com as funções `escape` ou `escapeAll` da API shescape com a opção `interpolation` definida como `true`. Outros shells testados, como o Dash e o Zsh, não são afetados. Dependendo de como a saída do shescape é utilizada, pode ser possível a traversal de diretórios no aplicativo que utiliza o shescape .

O problema afeta o shescape, um pacote simples de escape de shell para JavaScript, no qual os usuários ainda podem estar vulneráveis à injeção de shell se um invasor conseguir inserir um caractere nulo na carga útil. Isso pode ser explorado, por exemplo, inserindo um caractere nulo em uma carga útil no Windows. O problema foi corrigido na versão 1.1.3.