Descoberta técnica do Mongoose CVE-2025-23061 e CVE-2024-53900

Ao definir um esquema no Mongoose, um campo pode ser definido para referenciar outro modelo utilizando a opção ref. O método populate() é então utilizado para substituir o campo referenciado (um ObjectId) pelo documento completo do modelo relacionado. Por exemplo, numa aplicação de loja de livros, o campo author no bookSchema faz referência ao documento Author e o campo review faz referência ao documento Reviews. O método populate() permite aos programadores substituir o campo author (que é um ObjectId) pelo documento Author completo quando consultam o modelo book.

A função populate() permite que os programadores substituam o campo author (que é um ObjectId) pelo documento Author completo quando consultam o modelo de livro:

Além disso, o método populate() do Mongoose suporta consultas personalizadas para definir que documentos relacionados são obtidos e como são obtidos. Propriedades como match e options permitem aos programadores filtrar, ordenar, limitar e saltar documentos relacionados, oferecendo capacidades flexíveis de obtenção de dados.

No exemplo acima, a opção match é um objeto de filtro que pode incluir operadores de consulta do MongoDB, conforme detalhado no Query and Projection Operators - MongoDB Manual v8.0. Um operador notável é $where, que permite a execução de JavaScript diretamente no servidor MongoDB. No entanto, essa execução no servidor MongoDB é restrita, suportando apenas operações e funções básicas.

Dat Phung realizou uma análise aprofundada do código-fonte do Mongoose para entender o fluxo de trabalho do método populate(). Ele determinou que, depois que o aplicativo chama o método populate() no modelo, a função populate() é acionada. Dentro dessa função, o Mongoose chama a função _execPopulateQuery() , que executa a consulta com o operador $where no servidor MongoDB. Em seguida, todos os documentos da coleção estrangeira são recuperados para serem populados nas próximas etapas.

Depois de recuperar os dados do MongoDB, o Mongoose executa a função de retorno de chamada _done(), que chama _assign() para preparar os dados antes de "juntar" os dois modelos chamando a função assignVals().

A vulnerabilidade pode surgir quando os dados recuperados são processados pela função assignVals() do Mongoose. Esta função verifica se a opção de correspondência é uma matriz e, em caso afirmativo, passa cada operador para a função sift(). A função sift() , que é importada de uma biblioteca externa com o mesmo nome, processa essas consultas localmente no servidor de aplicativos. Este processamento local apresenta um risco de segurança, especialmente quando se trata de entradas controladas pelo utilizador.

Para aprofundar esta questão, Dat Phung modificou os valores na opção match para garantir que as condições eram satisfeitas, invocando assim a função sift() para uma análise adicional do fluxo de dados.

Com a condição implementada, o operador $where foi subsequentemente passado para a função sift().

A biblioteca sift é um utilitário JavaScript leve projetado para filtrar e consultar coleções de dados, como arrays ou objetos JSON, usando sintaxe semelhante à do MongoDB. De acordo com a documentação oficial, "Sift é uma pequena biblioteca para usar consultas MongoDB em JavaScript". A função sift() avalia as operações de filtragem do tipo MongoDB no servidor de aplicações em vez de no servidor de bases de dados, o que pode expor o sistema a riscos de segurança significativos ao processar entradas não confiáveis.

Continuando a sua análise, o nosso colaborador identificou um problema na função createDefaultQueryTester() da biblioteca sift. Esta função converte cada operação da matriz de correspondências em funções JavaScript executáveis, que são depois utilizadas para filtrar e processar localmente os dados do documento MongoDB. Para conseguir isso, createDefaultQueryTester() invoca a função createNamedOperation(), passando operações como $where da matriz de correspondências como argumentos. 

Para cada operação na matriz de correspondências, createNamedOperation verifica se a operação é suportada e, em seguida, transmite-a à função correspondente.

Se a operação for $where, é gerada uma função JavaScript utilizando o valor "params" em bruto, que é derivado do operador $where na matriz de correspondência e pode ser controlado pelo utilizador.

Inicialmente, a consulta não conseguiu executar outro processo, o que resultou no seguinte erro:

Este erro indica que o Mongoose tenta executar a operação $where no servidor MongoDB antes de passar o controlo para a função sift(). No entanto, devido às restrições das funções JavaScript na cláusula $where do MongoDB, ocorre um erro que impede a execução da consulta. Como resultado, o Mangusto interrompe o processo antes que ele possa alcançar a função sift() .

Para contornar a limitação, nosso colega aproveitou a variável "global" presente no servidor de aplicativos, que não existe no servidor MongoDB. Esta abordagem permitiu-lhe contornar a restrição no servidor MongoDB e permitir que a consulta chegasse à função sift():

Com este valor, quando o Mongoose executa a operação $where no MongoDB, a ausência da variável "global" faz com que o operador ternário (typeof global != "undefined" ?global.process.mainModule.constructor._load("child_process").exec("calc") : 1) para retornar 1, evitando que o MongoDB lance um erro. Consequentemente, a consulta é executada no servidor MongoDB sem problemas.

No entanto, quando o mesmo valor chega à função sift(), que é executada no servidor de aplicações onde a variável "global" está disponível, desencadeia a criação da seguinte função:

O vídeo demonstra a Prova de Conceito para o CVE-2024-53900 que afecta as versões do Mongoose anteriores à 8.8.3, que não possui uma validação de entrada adequada para evitar a utilização indevida do operador $where juntamente com a biblioteca sift.

Este snippet verifica se a propriedade match passada para populate() é um array. Se for, o código itera através de cada objeto na matriz para ver se contém o operador $where. Se $where for detectado, é gerado um erro, impedindo que o payload malicioso se propague para a arriscada função sift().  

Como resultado, o payload que explora o CVE-2024-53900 falha esta verificação porque um objeto na matriz de correspondência contém $where, impedindo-o efetivamente de chegar a sift().

Enquanto esta atualização bloqueia corretamente o uso direto de $where dentro de um único nível de aninhamento, ela falha em detetar $where quando embutido dentro de um operador $or - uma estrutura que tanto o MongoDB quanto a biblioteca sift suportam totalmente.

Como resultado, um atacante pode aninhar $where sob $or para evitar a verificação de nível único do patch. Como o Mongoose inspeciona apenas as propriedades de nível superior de cada objeto no array de correspondência, o payload de desvio permanece sem ser detectado e eventualmente alcança a biblioteca sift, permitindo o RCE malicioso.

Além disso, os CVEs também podem ser detectados pelo MetaDefender Software Supply Chainque utiliza MetaDefender Core com SBOM para identificar essas vulnerabilidades.