Vite: Dateien außerhalb von `server.fs.allow` könnten ausgeliefert werden, wenn Projektpfade Systempfaden auf Nicht-Windows-Systemen entsprechen

Zusammenfassung

Der Inhalt von Dateien außerhalb der Konfiguration server.fs kann an den Browser zurückgegeben werden, wenn das Projekt einen Dateipfad importiert, der mit root verkettet ist. Wenn das Projekt beispielsweise auf <path-to-project-root>/etc/hosts verweist, konnte der Inhalt von /etc/hosts zurückgegeben werden.

Der Inhalt von Dateien außerhalb der Option server.fs.allow kann an den Browser zurückgegeben werden, wenn ein Projekt eine Datei importiert, deren pfadrelativer Projekt-Root-Pfad mit einem absoluten Pfad auf dem Host übereinstimmt. Ein Verweis auf <project-root>/etc/hosts könnte beispielsweise dazu führen, dass Vite die Datei /etc/hosts des Hosts ausliefert.

Auswirkungen

Nur Anwendungen, die alle folgenden Bedingungen erfüllen, sind betroffen:

• Der Vite-Entwicklungsserver wird explizit im Netzwerk freigegeben (über --host oder die server.host-Option))).
• Das Projekt enthält eine importierte Datei, deren Root-relative Browser-URL auch dem absoluten Pfad einer lesbaren Datei auf dem Host entspricht.
• Die sensible Datei wird nicht durch server.fs.deny) abgedeckt.
• Der Entwicklungsserver läuft nicht unter Windows.

Details

Wenn Vite einen Import innerhalb des Roots analysiert, wird die aufgelöste Modul-ID in eine Browser-URL wie /etc/hostname umgeschrieben. In den betroffenen Versionen konvertiert Vite diese URL mit fsPathFromUrl und fügt das Ergebnis zu safeModulePaths hinzu. Da fsPathFromUrl einen führenden Schrägstrich sicherstellt, ohne die URL gegen das Projekt-Root aufzulösen, wird die Projekt-URL /etc/hostname so erfasst, als wäre sie der absolute Dateisystempfad /etc/hostname.

Bei einer späteren Anfrage an /@fs/etc/hostname interpretiert die Dateisystem-Middleware /etc/hostname als absoluten Pfad. Die Zugriffskontrolle wendet server.fs.deny an und akzeptiert anschließend Pfade in safeModulePaths, bevor server.fs.allow geprüft wird. Dadurch kann die Anfrage die Host-Datei anstelle der ursprünglichen Projektdatei zurückgeben, die safeModulePaths befüllt hat.

PoC

Das folgende Beispiel erfordert Linux mit einer lesbaren Datei /etc/hostname:

$ mkdir vite-safe-module-path-poc
$ cd vite-safe-module-path-poc
$ npm init -y
$ npm install vite@8.3.1
$ mkdir -p etc
$ echo 'PROJECT-DECOY\n' > etc/hostname
$ echo 'import "./etc/hostname"\n' > main.js
$ npx vite --host 127.0.0.1

In einem weiteren Terminal:

$ curl -o /dev/null -s -w '%{http_code}\n' http://127.0.0.1:5173/main.js
200
$ curl -sS -o response -w '%{http_code}\n' http://127.0.0.1:5173/@fs/etc/hostname
200
$ cmp -s response /etc/hostname && echo 'response matches host file'
response matches host file