[Bounty] 狄卡科技股份有限公司 行銷網頁背景圖片可載入任意網路資源 - HITCON ZeroDay

Vulnerability Detail Report

Vulnerability Overview

  • ZDID: ZD-2024-00639
  •  發信 Vendor: 狄卡科技股份有限公司
  • Title: [Bounty] 狄卡科技股份有限公司 行銷網頁背景圖片可載入任意網路資源
  • Introduction: 用戶可以直接傳送設定封包指定背景圖片網址，而非按照介面上傳圖片，可能導致資源過度消耗或反射式 DDoS 攻擊。

處理狀態

目前狀態

公開
Last Update : 2024/06/16
  • 新提交
  • 已審核
  • 已通報
  • 已修補
  • 已複測
  • 公開

處理歷程

  • 2024/06/05 22:29:08 : 新提交 (由 毛哥EM 更新此狀態)
  • 2024/06/06 15:03:19 : 審核中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2024/06/06 17:21:39 : 修補中 (由 組織帳號 更新此狀態)
  • 2024/06/11 16:13:37 : 複測申請中 (由 HITCON ZeroDay 服務團隊 更新此狀態)
  • 2024/06/12 08:16:49 : 確認已修補 (由 毛哥EM 更新此狀態)
  • 2024/06/16 03:00:12 : 公開 (由 HITCON ZeroDay 平台自動更新)

詳細資料

  • ZDID：ZD-2024-00639
  • 通報者：elvismao (毛哥EM)
  • 風險：低
  • 類型：HTTP Header 注入 (HTTP Header Injection)

參考資料

攻擊者可經由該漏洞將受害者導向至惡意網站或是進行其他攻擊。

漏洞說明： OWASP - Testing for HTTP Splitting/Smuggling (OTG-INPVAL-016)
https://www.owasp.org/index.php/Testing_for_HTTP_Splitting/Smuggling_(OTG-INPVAL-016)

漏洞說明： HTTP Header Injection
https://www.gracefulsecurity.com/http-header-injection/
(本欄位資訊由系統根據漏洞類別自動產生，做為漏洞參考資料。)

相關網址

https://ads.dcard.tw/a/XXX/campaignSites/XXX

敘述

重現漏洞方式：

  1. 編輯任意項目並儲存，紀錄傳送 POST 請求。
  2. 重新傳送 POST 請求，並將背景及頭像圖片設定為任意網址 (甚至無須是影像)。
  3. 重新載入，可觀察瀏覽器請求外部資源。

影響：

  1. 資源耗盡：用戶端可能因加載大型資源而導致記憶體耗盡 (如下圖，僅開啟單一分頁卻佔據 9GB 記憶體)，影響用戶體驗，導致系統崩潰，從而間接地引發記憶體洩漏的風險。
  2. 反射式 DDoS 攻擊：攻擊者可以利用此漏洞發動反射式 DDoS 攻擊，通過傳送大型的請求，導致伺服器耗盡資源，無法處理其他合法請求，從而導致服務不可用。

建議修復方式：

  1. 實施適當的背景圖片驗證，確保用戶只能選擇本地上傳的圖片，並限制圖片大小。
  2. 監控並限制伺服器端對於圖片的接收和處理，以防止資源耗盡或反射式 DDoS 攻擊。

修補建議

1. **後端限制**：在後端實施嚴格的限制，僅允許設定該域內的圖片網址作為背景及頭像。
2. **前端 Content-Security-Policy (CSP)**：在前端設置 Content-Security-Policy 標頭，限制僅允許載入同源的資源。這樣可以有效防止從其他域載入的資源。例如：

```
Content-Security-Policy: default-src 'self';
```

擷圖

留言討論

聯絡組織

 發送私人訊息
您也可以透過私人訊息的方式與組織聯繫，討論有關於這個漏洞的相關資訊。
;