YAML (YAML Ain’t Markup Language) je populární formát pro serializaci dat, který je čitelný pro člověka a často se používá v konfiguracích aplikací, nastavení serverů nebo v CI/CD pipelinech. Podobně jako jiné formáty, které mohou obsahovat nestrukturovaný text, je YAML zranitelný vůči útokům známým jako YAML injection.
YAML Injection je bezpečnostní hrozba, kdy útočník dokáže manipulovat s YAML souborem tak, že do něj vkládá škodlivé kódy nebo neautorizované změny. Tento typ útoku je nebezpečný, protože YAML soubory mohou být často zpracovávány jako součást konfigurace, což znamená, že útok může vést k neautorizovanému přístupu, změnám v konfiguraci nebo dokonce k vykonání škodlivého kódu na serveru.
Jak YAML Injection funguje?
YAML Injection probíhá, když útočník dokáže upravit nebo vložit nevalidní data do YAML souboru, který aplikace používá pro svou konfiguraci nebo zpracování dat. Pokud aplikace nesprávně zpracovává data z neověřeného vstupu a vkládá je přímo do YAML souboru, může to vést k nechtěným změnám v aplikaci nebo způsobit bezpečnostní problémy.
Například, pokud aplikace načítá hodnoty z YAML souboru a používá je pro autentizaci uživatele, útočník může manipulovat s těmito hodnotami tak, aby obcházel autentizaci. Jiný příklad může být manipulace s parametry aplikace, které řídí její chování, což umožňuje útočníkovi získat větší oprávnění nebo vyvolat nežádoucí akce.
Příklad útoku YAML Injection
Představme si, že máme aplikaci, která zpracovává konfigurace uživatelů z YAML souboru. Tento soubor by mohl vypadat například takto:
user:
username: johndoe
password: password123
Pokud aplikace umožňuje úpravy těchto hodnot prostřednictvím webového rozhraní a nezabezpečuje vstupní data správně, útočník může provést YAML Injection takto:
user:
username: johndoe
password: "password123; malicious_code"
Pokud aplikace použije hodnotu z YAML souboru bez správné sanitace, mohl by se kód malicious_code vykonat, což může způsobit škodlivé změny nebo exekuci na serveru.
Rizika spojená s YAML Injection
YAML Injection má několik rizik, která mohou vážně ohrozit bezpečnost aplikace nebo systému. Mezi největší hrozby patří:
Získání neautorizovaného přístupu – Manipulací s autentizačními parametry nebo přístupovými údaji lze obejít bezpečnostní mechanismy aplikace.
Změna konfigurace aplikace – Útočník může upravit konfigurace, které mohou změnit chování aplikace a způsobit například ztrátu dat, porušení integrity systému nebo zneužití oprávnění.
Vykonání škodlivého kódu – Pokud aplikace přímo nevaliduje vstup, může útočník spustit kód, který se vykoná v rámci aplikace nebo na serveru.
Jak se bránit proti YAML Injection?
Existuje několik opatření, jak zabránit útokům YAML Injection:
Validace vstupů – Je důležité zajistit, že všechny vstupy od uživatelů nebo jiných zdrojů budou řádně validovány a ošetřeny před tím, než se použijí k jakýmkoli operacím, včetně zápisu do YAML souboru.
Použití knihoven pro bezpečné zpracování YAML – Některé knihovny pro práci s YAML mají vestavěnou ochranu proti nebezpečným operacím, jako je spouštění kódu nebo modifikace kritických hodnot. Použití knihoven, které správně zacházejí s bezpečnostními aspekty YAML, je klíčové.
Zabezpečení přístupů – Aplikace by měla mít vhodné úrovně přístupových práv, které brání neoprávněnému uživatelskému přístupu k citlivým souborům, včetně YAML konfigurací.
Izolace prostředí – Pokud je to možné, měly by aplikace a jejich součásti běžet v izolovaných prostředích, což omezuje schopnost útočníků způsobit velké škody.
Testování a penetrační testování – Pravidelné penetrační testování a revize kódu mohou pomoci identifikovat potenciální zranitelnosti, včetně YAML Injection, než se stanou zneužitelnými.
Závěr
YAML Injection je závažná hrozba, která může ohrozit aplikace používající YAML pro konfiguraci. Abychom se proti této hrozbě účinně chránili, je důležité správně validovat a sanitizovat všechny vstupy, používat bezpečné knihovny pro zpracování YAML a pravidelně provádět bezpečnostní kontroly a testování. Opatření na ochranu proti YAML Injection mohou pomoci ochránit vaše systémy před zneužitím této bezpečnostní díry.
