Prototype Pollution

La aplicación permite al usuario contaminar el prototipo.

La contaminación de prototipos es un ataque que permite a un usuario malintencionado sobrescribir el prototipo de un objeto.
Para comprender la contaminación de prototipos, primero se debe comprender la herencia de los prototipos. Los prototipos y la cadena de prototipos se utilizan como búsqueda de propiedades y funciones en JavaScript, lo que proporciona la herencia. Al intentar acceder a una propiedad en un objeto determinado, se verifica la definición del objeto actual. Si el objeto actual no define la propiedad, se verifica la clase de prototipo. Los prototipos se verifican de forma recursiva hasta que se encuentra la propiedad o no hay más prototipos establecidos.

Debido a que la mayoría de los objetos en JavaScript tienen de forma predeterminada un prototipo que apunta a Object.prototype, si un atacante puede sobrescribir el prototipo de un objeto, normalmente puede sobrescribir la definición de Object.prototype, lo que afecta a todos los objetos dentro de la aplicación.

En el caso de que la aplicación (o cualquiera de sus dependencias) se base en el hecho de que las propiedades puedan ser undefined en lugar de establecerse siempre explícitamente, si el prototipo ha sido contaminado, la aplicación podría leer inadvertidamente el prototipo en lugar del objeto previsto.

La contaminación de prototipos puede ocurrir cuando:

1. Los datos se introducen en un programa desde un origen que no es de confianza.



2. Los datos pasan a una API que permite sobrescribir el prototipo.

Ejemplo 1: El siguiente código utiliza una versión vulnerable de lodash para contaminar el prototipo del objeto:

import * as lodash from 'lodash'
...
let clonedObject = lodash.merge({}, JSON.parse(untrustedInput));
...

En este punto, si la entrada que no es de confianza es {"__proto__": { "isAdmin": true}}, entonces Object.prototype habrá definido isAdmin = true.

Considere el siguiente código que existe más adelante en la aplicación.

...
let config = {}
if (isAuthorizedAsAdmin()){
    config.isAdmin = true;
}
...
if (config.isAdmin) {
    // do something as the admin
}
...

Aunque isAdmin solo debe establecerse en verdadero si isAuthorizedAdmin() devuelve verdadero, como la aplicación no establece config.isAdmin = false en la condición else, se basa en el hecho de que config.isAdmin === undefined === false.
Desafortunadamente, como el prototipo ha sido contaminado, el prototipo de config ahora se ha configurado en isAdmin === true, que permite eludir la autorización del administrador.