Podatności Hugo

Hugo to generator statycznych stron. W wersjach po v0.123.0 i przed v0.165.0 dowiązania symboliczne w katalogach nadrzędnych nie były usuwane podczas bezpośrednich wyszukiwań zasobów, co pozwalało obejść ograniczenia ścieżek. Atakujący mogący umieścić dowiązanie symboliczne w zamontowanym katalogu może spowodować, że funkcje takie jak resources.Get i os.ReadFile odczytają pliki spoza zamierzonych granic projektu i ujawnią ich zawartość w zbudowanej witrynie.

Hugo od wersji v0.161.0 wykonuje narzędzia Node w modelu uprawnień Node, ale TailwindCSS — domyślnie na liście security.exec.allow — wymaga bardzo permisywnej konfiguracji (--allow-addons, --allow-child-process, --allow-worker). W rezultacie ograniczenia wprowadzone w poprawce do GHSA-x597-9fr4-5857 mogą być obejściem, pozwalając narzędziu Node wywołanemu podczas budowania na odczyt i zapis plików poza katalogiem roboczym projektu. Dotyczy wersji po v0.43; problem naprawiono w v0.165.0 poprzez usunięcie tailwindcss z domyślnej listy security.exec.allow. Użytkownicy niekorzystający z TailwindCSS lub budujący tylko zaufane strony nie są dotknięci. Obejściem jest zdefiniowanie restrykcyjnej listy security.exec.allow w hugo.toml.

Hugo od wersji 0.60.0 do 0.167.0 zawiera podatność na trwały cross-site scripting (XSS), która pozwala autorom treści Markdown na wstrzyknięcie HTML przez spreparowane identyfikatory nagłówków. Atakujący mogą wydostać się z nieescapowanego atrybutu href w .TableOfContents lub .Fragments.ToHTML, aby wstrzyknąć elementy z obsługą zdarzeń do renderowanych stron.

Hugo od wersji 0.162.0 do 0.167.0 zawiera podatność na nieprawidłowe rozwiązywanie linków, która pozwala złośliwym motywom lub modułom na ujawnienie plików poza ich katalogiem głównym przez katalogi przodków zagnieżdżonych mountów. Atakujący kontrolujący motyw może umieścić dowiązanie symboliczne lub połączenie NTFS w wirtualnym katalogu przodka, powodując, że resources.Match wyświetli i opublikuje lokalne pliki podczas budowania.

Hugo od wersji 0.84.0 do 0.167.0 zawiera podatność na path traversal, która pozwala złośliwym motywom lub modułom na odczyt plików poza katalogiem głównym projektu przez fallback resolver ESBuild w js.Build, js.Batch i css.Build. Atakujący mogą dostarczyć względne importy lub dowiązania symboliczne wskazujące poza projekt, aby spakować dowolny plik czytelny dla użytkownika budującego do opublikowanego wyjścia JavaScript lub CSS.

Hugo przed wersją 0.167.0 zawiera podatność na path traversal w css.Sass, która pozwala złośliwym motywom lub modułom na odczyt plików poza katalogiem głównym projektu przez fallback importu kompilatora Sass. Atakujący mogą dostarczyć arkusze stylów z względnymi, bezwzględnymi lub dowiązanymi symbolicznymi celami @import lub @use, aby skompilować czytelne pliki do opublikowanego CSS strony.

Hugo, generator stron statycznych, w wersjach od v0.56.0 do v0.165.x renderuje pliki treści o typie media text/org bez escapowania surowego HTML. Bloki eksportu Org oraz fragmenty @@html:...@@ przepuszczają HTML bez escapowania, co prowadzi do cross-site scripting (XSS) w generowanej witrynie. Luka dotyczy tylko stron, których plik źródłowy lub wynik adaptera treści deklaruje typ text/org; wersja v0.166.0 naprawia problem, wprowadzając allowlistę security.allowContent, która domyślnie blokuje text/org.

Hugo w wersjach od v0.162.0 do v0.166.0 zawiera błąd walidacji z rozróżnianiem wielkości liter w regule blokowania adresów IP w security.http.urls, co pozwala atakującym obejść ograniczenia. Atakujący mogą użyć mieszanych wielkości liter w schematach URL w wywołaniach resources.GetRemote, aby pobierać dane z zastrzeżonych adresów IP, takich jak localhost.

Hugo, generator statycznych stron, w wersjach po v0.123.0 i przed v0.166.0, ma wadę w sprawdzaniu ograniczeń dowiązań symbolicznych (symlink confinement). Motyw lub moduł w themes/ (lub vendorowany moduł) może zawierać dowiązanie symboliczne w punkcie montowania (np. themes/mytheme/assets -> /some/dir/outside), co pozwala na odczyt plików spoza dozwolonych ścieżek podczas budowania strony oraz publikowanie ich do public/ przez statyczne montowania, omijając zasadę, że źródła montowania motywów i modułów muszą być lokalnymi ścieżkami.

Hugo w wersjach od 0.75.0 do 0.165.x zawiera podatność typu stored cross-site scripting: highlighter składni nie escapuje opcji lineAnchors przed przekazaniem jej do Chromy, który zapisuje wartość dosłownie w atrybutach id i href generowanego znacznika numerów linii. Spreparowana wartość lineAnchors podana jako atrybut bloku kodu Markdown (lub przekazana do funkcji szablonu highlight) skutkuje nieescapowanym HTML w renderowanej stronie, co pozwala na wykonanie dowolnego JavaScriptu w przeglądarkach odwiedzających. Luka naprawiona w 0.166.0 poprzez escapowanie HTML wartości lineAnchors przed przekazaniem do Chromy.

Hugo w wersjach od v0.161.0 do v0.165.0 uruchamia narzędzia Node.js (css.PostCSS, css.TailwindCSS, js.Babel) w modelu uprawnień Node.js, aby ograniczyć odczyt systemu plików do katalogu projektu i skonfigurowanych montowań. Ponieważ model uprawnień Node.js waliduje tylko ścieżkę leksykalną i podąża za dowiązaniami symbolicznymi wskazującymi poza dozwolony zbiór, Hugo nie wykrywał dowiązań symbolicznych wychodzących z piaskownicy. Atakujący mogący wnosić treść do projektu Hugo może zatwierdzić dowiązanie symboliczne, takie jak assets/css/x.css -> /etc/passwd, wraz z pluginem PostCSS, który je odczytuje, umożliwiając ujawnienie dowolnego pliku czytelnego przez proces budowania Hugo i potencjalne osadzenie go w opublikowanej witrynie. Dotyczy to kompilacji używających domyślnej konfiguracji bezpieczeństwa; projekty, które nie wywołują narzędzi Node.js, nie są dotknięte. Naprawiono w v0.166.0, który skanuje dozwolone ścieżki i przerywa kompilację, gdy dowiązanie symboliczne wskazuje poza nie.

Domyślny renderer bloków kodu w Hugo zapisuje wartości atrybutów pochodzące z ciągu informacyjnego bloku kodu do wygenerowanego HTML bez ich escapowania. Nowy kod w markup/internal/attributes/attributes.go konwertuje każdą wartość atrybutu z bajtów na string, pomijając escapowanie, a funkcja RenderAttributes escapuje tylko wartości, które nadal są bajtami, więc jej gałąź escapowania nigdy nie jest osiągana. Cudzysłów w wartości atrybutu może zakończyć atrybut i umożliwić dodanie kolejnego atrybutu, w tym obsługi zdarzeń, co prowadzi do wykonania skryptu dla każdego odwiedzającego stronę.

Hugo nie sprawdza adresu IP, do którego faktycznie łączy się klient HTTP podczas pobierania zasobów przez resources.GetRemote. Lista dozwolonych security.http.urls sprawdza tylko tekst URL, a nie rzeczywisty adres docelowy, co pozwala na dostęp do wewnętrznych zasobów.

Hugo 0.162.0 dodał tailwindcss do domyślnej listy AllowChildProcess, co powoduje, że proces Node.js uruchamiany dla TailwindCSS ma uprawnienia do uruchamiania procesów potomnych. Top-level kod w tailwind.config.js może wykonać dowolne polecenia, omijając model uprawnień Node.js.

W Hugo od wersji 0.123.0 do 0.161.1 wystąpiła regresja, w wyniku której funkcja RootMappingFs.statRoot używała Stat (podąża za dowiązaniami symbolicznymi) zamiast Lstat. Umożliwiło to odczyt plików spoza zamontowanego katalogu poprzez dowiązanie symboliczne umieszczone w lokalnym punkcie montowania, np. w motywie themes/.

Podatność w Hugo od wersji v0.162.0 do v0.163.0 pozwala na obejście polityki bezpieczeństwa blokującej żądania do adresów IPv4 typu loopback, wewnętrznych i cloud-metadata. Polityka sprawdzała tylko notację dziesiętną z kropkami, co umożliwiało użycie alternatywnych kodowań IPv4 (całkowitoliczbowego, szesnastkowego lub ósemkowego) do ominięcia blokady. W rezultacie, gdy szablon przekazuje niezaufany URL do funkcji resources.GetRemote, a platforma używa resolwera cgo, te kodowania pozwalają na wysyłanie żądań do wewnętrznych usług i punktów końcowych cloud-metadata w środowiskach hostowanych lub CI.

Podatność w Hugo (wersje 0.123.0 do 0.163.0) pozwala na ominięcie zabezpieczeń wirtualnego systemu plików. Błąd w funkcji RootMappingFs.statRoot powoduje, że dowiązania symboliczne wewnątrz zamontowanych katalogów mogą wskazywać na pliki poza drzewem montowania, co umożliwia odczyt dowolnych plików dostępnych dla użytkownika uruchamiającego Hugo.

Hugo od wersji 0.60.0 do 0.163.3 domyślnie renderował bloki kodu Markdown bez odpowiedniego escapowania HTML w atrybutach class i data-lang. Info-string zawierający cudzysłów i kod JavaScript mógł opuścić atrybut i wstrzyknąć aktywny skrypt.

W Hugo od wersji 0.91.0 do 0.162.0 funkcja resources.GetRemote nie ponownie weryfikuje docelowych adresów URL po przekierowaniach HTTP 3xx, co pozwala na ominięcie polityki bezpieczeństwa security.http.urls. Atakujący może przekierować żądanie do zabronionego hosta, a Hugo pobierze z niego zasoby.

Hugo przed wersją 0.162.0 akceptuje pliki treści w różnych formatach znaczników. Pliki mapowane na typ text/html (np. .html w /content) są emitowane bezpośrednio do renderowanej strony, co umożliwia atak XSS.

Hugo, generator statycznych stron, w wersjach od 0.60.0 do przed 0.159.2 nieprawidłowo escapuje linki i linki do obrazów w domyślnym rendererze markdown do HTML. Użytkownicy Hugo, którzy ufają treściom Markdown lub mają niestandardowe hooki renderowania linków i obrazów, nie są narażeni. Podatność została naprawiona w wersji 0.159.2.