Object Injection

A desserialização de dados não confiáveis permite a injeção de objetos arbitrários Ruby, o que pode fazer com que o programa execute comandos maliciosos em nome de um invasor.

As vulnerabilidades de injeção de objetos ocorre quando os dados não confiáveis não são devidamente limpos antes de serem passados para uma função que desserializa dados como a YAML.load(). Os invasores podem transmitir cadeias especialmente projetadas para uma chamada vulnerável YAML.load(), resultando na injeção de objetos arbitrários Ruby no programa, desde que a classe seja carregada no aplicativo no momento da desserialização. Isso pode permitir uma vasta gama de oportunidades de ataque, como ignorar a lógica de validação para encontrar vulnerabilidades de cross-site scripting, permitis a SQL Injection por meio do que parecem ser valores codificados ou mesmo uma execução de código completo.

Exemplo 1: Este código mostra uma classe Ruby que cria uma consulta SQL usando os atributos, que são então consultados no banco de dados. Há também uma chamada insegura para YAML.load() com dados fornecidos pelo usuário.

...
class Transaction
  attr_accessor :id
  def initialize(num=nil)
    @id = num.is_a?(Numeric) ? num : nil
  end

  def print_details
    unless @id.nil?
      print $conn.query("SELECT * FROM transactions WHERE id=#{@id}")
    end
  end
end

...
user = YAML.load(params[:user]);
user.print_details
...

No Example 1, o aplicativo pode estar esperando um objeto User serializado, o qual também tem uma função chamada print_details, mas um invasor pode de fato fornecer uma versão serializada de um objeto Transaction com um valor predefinido para o respectivo atributo @id. Uma solicitação como essa pode, portanto, permitir que se ignore a verificação de validação que tenta se certificar de que @id seja um valor numérico

GET REQUEST:  http://server/page?user=!ruby%2Fobject%3ATransaction%0Aid%3A4%20or%205%3D5%0A

Se observarmos a versão decodificada dela, veremos que o parâmetro user é atribuído !ruby/object:Transaction\nid:4 or 5=5\n.
Agora, desserializar o parâmetro do usuário criará um objeto do tipo Transaction, definindo como @id para "4 or 5=5". Quando o desenvolvedor acreditar que está chamando User#print_details(), na verdade estará chamando Transaction#print_details() e a interpolação de cadeia do Ruby significará que a consulta SQL será alterada para executar a consulta: SELECT * FROM transactions WHERE id=4 or 5=5. Devido à cláusula extra adicionada, a consulta é avaliada como true e retornará tudo dentro da tabela transactions em vez da única linha pretendida pelo desenvolvedor.

Os invasores podem encadear classes diferentes declaradas quando o YAML.load() vulnerável está sendo chamado usando uma técnica conhecida como "Programação orientada à propriedade", que foi introduzida por Stefan Esser durante a conferência BlackHat de 2010. Essa técnica permite que um invasor reutilize o código existente para criar a sua própria carga de trabalho.