#React Server Components to #RCE
بی مقدمه میرم سراغ ابعاد فنی، خب در ویژگی React Server Components که Next.js هم با نام App Router از آن استفاده میکند، یک پروتکل با نام Flight وجود دارد که وظیفه اجرای درخواست های سمت کاربر در خصوص Components هایی که در سمت سرور وجود دارد را داشته و بعد از Render کردن میبایست نتیجه را به سمت کاربر دوباره بازگشت دهد.

یعنی وقتی سمت کاربر نیاز به انجام یک Server Function دارد آنرا بصورت Serialize به سمت سرور ارسال کرده و RSC اقدام به Deserialize کردن Payload ارسالی میکند، که در تصویر پست جایی که FlightReplayServer قرار دارد مقادیر سمت کاربر بواسطه تابع requireModule(metadata) در حال دریافت است بدون هیچ چک امنیتی!

حالا مهاجم نیاز دارد تا به توابعی دسترسی پیدا کند که امکان دادن کد به آنها را دارد، برای اینکار از Prototype Pollution استفاده کرده که به معنی مخدوش کردن نمونه اولیه است، یعنی مهاجم یک property برای PP حساسی مانند Function تعریف میکند که یک کد RCE است و RSC هم هیچگونه تصدیق امنیتی روی property انجام نمیدهد.

POC
@Unk9vvN

Login & MFA #Bypass with #Race_Condition & #JWT Leak
یک روش شناسی هوشمندانه مهاجم بررسی میکنه و در فرایند احراز هویت سایت قربانی متوجه میشه که مقادیر MFA داره بواسطه ساختار JWT ارسال میشه و تصدیق میشه.

این JWT زمانی صادر میشه که Login انجام میشه، و پارامتری در پارامتر های JWT قرار داشته باش نام token_type که مقدار AuthCode رو بطور پیشفرض داشته.

مهاجم متوجه میشه این پارامتر میتونه ارتباط داشته باشه با MFA لذا میاد اینجا Race Condition رو پیاده سازی میکنه و همون ساختار JWT که پس از Login دریافت کرده رو ارسال میکنه در تعداد بالا.

در اصل مشکل اینجا بوده که بعد از Login سایت میومده و JWT رو لو میداده قبل از MFA و همین موضوع باعث شده ساختار رو مهاجم متوجه بشه و حالا Threat Model که اینجا رسیده به ذهنش یکی هم Race Condition بوده و تست زده دیده گرفته.

مهم نیست مقدار درون AuthCode درست بوده باشه یا غلط، چرا که بواسطه Race Condition دوره زده میشده و کاربر یکی از درخواست ها تایید رو که میگرفت، عملا ورود انجام شده و مکانیزم MFA کاملا دور خورده است، جایزه این آسیب پذیری 2500 دلار بود.

@Unk9vvN