Ash框架授权绕过漏洞分析
漏洞概述
CVE-2025-48044是一个在Ash框架中发现的高危授权绕过漏洞。当绕过策略的条件评估为真但其授权检查失败，且没有其他适用策略时，攻击者可以在未经适当授权的情况下访问受保护的资源。
受影响版本
- 受影响版本：>= 3.6.3, <= 3.7.0
- 已修复版本：3.7.1
漏洞详情
漏洞代码位置
lib/ash/policy/policy.ex:69
1
2
3
4
5
|
{%{bypass?: true}, cond_expr, complete_expr}, {one_condition_matches, all_policies_match} ->
{
b(cond_expr or one_condition_matches), # <- 漏洞：仅使用条件检查
b(complete_expr or all_policies_match)
}
|
漏洞原理
最终的授权决策基于：one_condition_matches AND all_policies_match
当绕过条件为真但绕过策略失败，且后续策略具有不匹配的条件时：
one_condition_matches = cond_expr（绕过条件）= true（漏洞 - 应检查绕过是否实际授权）all_policies_match = (complete_expr OR NOT cond_expr) 对于每个策略
对于不匹配的策略：(false OR NOT false) = true（策略不适用）
最终结果：true AND true = true（错误地授权）
绕过条件单独满足"至少一个策略适用"的要求，即使绕过未能成功授权。
修复方案
将第69行的cond_expr替换为complete_expr：
1
2
3
4
5
|
{%{bypass?: true}, _cond_expr, complete_expr}, {one_condition_matches, all_policies_match} ->
{
b(complete_expr or one_condition_matches), # <- 已修复
b(complete_expr or all_policies_match)
}
|
第52行也应更新以保持一致性：
1
2
3
4
5
|
{%{bypass?: true}, _cond_expr, complete_expr}, {one_condition_matches, true} ->
{
b(complete_expr or one_condition_matches), # <- 为保持一致性
complete_expr
}
|
漏洞验证
策略配置示例
1
2
3
4
5
6
7
8
9
|
policies do
bypass always() do
authorize_if actor_attribute_equals(:is_admin, true)
end
policy action_type(:read) do
authorize_if always()
end
end
|
测试用例
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
|
test "bypass policy bug" do
policies = [
%Ash.Policy.Policy{
bypass?: true,
condition: [{Ash.Policy.Check.Static, result: true}], # 条件 = true
policies: [
%Ash.Policy.Check{
type: :authorize_if,
check: {Ash.Policy.Check.Static, result: false}, # 策略 = false
check_module: Ash.Policy.Check.Static,
check_opts: [result: false]
}
]
},
%Ash.Policy.Policy{
bypass?: false,
condition: [{Ash.Policy.Check.Static, result: false}],
policies: [
%Ash.Policy.Check{
type: :authorize_if,
check: {Ash.Policy.Check.Static, result: true},
check_module: Ash.Policy.Check.Static,
check_opts: [result: true]
}
]
}
]
expression = Ash.Policy.Policy.expression(policies, %{})
assert expression == false
# 预期：false（拒绝）
# 主分支实际结果：true（错误授权）
end
|
参考信息
安全评分
- CVSS总体评分: 8.6（高危）
- EPSS评分: 0.069%（第21百分位）
CVSS v4基础指标
- 攻击向量：网络
- 攻击复杂度：低
- 权限要求：低
- 用户交互：无
- 机密性影响：高
- 完整性影响：高
- 可用性影响：无
弱点分类
- CWE-863: 不正确的授权
- 产品在参与者尝试访问资源或执行操作时执行授权检查，但未能正确执行检查，允许攻击者绕过预期的访问限制。