Un scanner de vulnérabilités open source victime... d'une faille!!

Salut à tous,

Aujourd'hui, on se retrouve pour discuter d'un sujet assez cocasse avec le cas du scanner open source spécialisée dans la détection de failles de sécurité Nuclei qui est lui-même vulnérable à une vulnérabilité donnant la capacité d'exécuter du code distant.  

Nuclei est un outil relativement populaire puisqu'il est open source, assez simple à prendre et une grande partie de la communauté a commencé à le présenter que ce soit sur LinkedIn ou Youtube à travers différents vidéos de tutoriels pour le mettre en place et l'utiliser dans les meilleurs conditions. Il est relativement puissant car il va permettre de procéder à des analyses dans le but d'identifier des vulnérabilités et faiblesses sur les sites web, applications cloud et réseaux. 
Cependant, il y a une semaine, nous avons appris que Nuclei présente une faille d'un score CVSS de 7,4 sur 10 répertoriée sous le nom de CVE-2024-43405 et affectant tous les versions de Nuclei postérieures à la version 3.0.0. On doit son identification par la société de sécurité cloud Wiz avec la publication du PoC de contournement, ici. 
Cette faille permet aux attaquants d'utiliser des modèles malveillants conçus à l'aide de codes arbitraires pouvant octroyer des accès à des données sensibles de l'hôte. 
Pour aller dans le détail, l'outil va s'appuyer sur l'utilisation de modèles disponibles sous forme de fichiers YAML définissant les vérifications ou tests nécessaires au processus d'analyse des vulnérabilités. Il est primordial de garantir l'authenticité des modèles pour assurer leur intégrité pour ne pas induire en erreur ou compromettre le processus d'analyse. Le processus de vérification des signatures garantissant l'authenticité est basé sur Go regex. 
Le développeur et mainteneur de la solution a informé que celle-ci avait été détectée dans le processus de vérification de la signature des modèles de Nuclei permettant à un attaquant de contourner la vérification de la signature et exécuter un code malveillant grâce à son propre modèle de code personnalisé. 

Pour s'en prémunir, il est conseillé de procéder à une mise à niveau sur la version corrigée disponible depuis le 4 septembre 2024 ou de s'abstenir d'utiliser des modèles personnalisés. 
Pour l'application du patch, les utilisateurs CLI comme SDK sont concernés. La première comprend ceux qui exécutent des modèles de code personnalisés à partir de sources non vérifiées et la second comprend ceux qui passent par le kit de développement logiciel car les développeurs autorisent l'exécution de modèles de code personnalisés par les utilisateurs finaux.