Ekspozycja .env

Ekspozycja .env to parametr monitoringu stron internetowych, który sprawdza, czy pod adresem /.env w katalogu głównym witryny serwer oddaje zawartość pliku, zamiast odmówić dostępu albo zgłosić jego brak. Pomiar kończy się jednym z trzech wyników: plik dostępny publicznie, plik niedostępny albo nie udało się uzyskać odpowiedzi. Plik .env jest plikiem tekstowym ze zmiennymi środowiskowymi, które biblioteka dotenv wczytuje do środowiska procesu aplikacji ^[2].

Jak działa

Metodyka Twelve-Factor App nazywa konfiguracją wszystko, co zmienia się między wdrożeniami aplikacji, w tym dane dostępowe do usług zewnętrznych, i zaleca trzymanie jej w zmiennych środowiskowych ^[1]. Jej test poprawności brzmi: kod źródłowy dałoby się w każdej chwili upublicznić bez ujawnienia żadnych danych dostępowych ^[1]. Plik .env przenosi tę zasadę na dysk. Dokumentacja dotenv każe utworzyć go w katalogu głównym projektu i zapisywać w nim wiersze w postaci NAZWA="wartość", na przykład klucz API ^[2]. Na pytanie, czy plik trafia do repozytorium, odpowiada „nie”, chyba że jest zaszyfrowany ^[2].

Problem zaczyna się wtedy, gdy katalog główny projektu jest jednocześnie katalogiem, z którego serwer WWW podaje pliki. W nginx ścieżka pliku powstaje przez proste dopisanie adresu z żądania do wartości dyrektywy root ^[7], więc żądanie /.env wskazuje wprost na plik w tym katalogu. Plik, którego rozszerzenia nie obsługuje żaden interpreter, serwer zwykle zwraca jako tekst, zamiast go wykonać. Przewodnik testowania OWASP pokazuje to na kopii login.asp.old, która oddaje kod źródłowy strony ^[4].

RYS. 1.1Żądanie pliku .env: trzy odpowiedzi

Domyślny plik konfiguracyjny Apache HTTP Server zawiera blok <Files ".ht*"> z dyrektywą Require all denied, opisany jako ochrona plików .htaccess i .htpasswd przed odczytem przez klientów ^[6]. Wzorzec obejmuje nazwy zaczynające się od .ht, więc .env do niego nie pasuje. W nginx reguły z wyrażeniem regularnym oznacza się modyfikatorem ~, sprawdza w kolejności wystąpienia w konfiguracji, a pierwsze dopasowanie kończy wyszukiwanie ^[7]. Blok odmowy dla ścieżek z kropką, np. location ~ /\., działa więc tylko wtedy, gdy stoi przed innymi blokami wyrażeń regularnych, które mogłyby przechwycić to samo żądanie ^[7].

Sam kod 200 nie przesądza o wycieku. Według OWASP odpowiedź 200 zwykle oznacza, że zasób istnieje, o ile serwer nie podaje własnej strony „nie znaleziono” z kodem 200 ^[4]. Rozstrzyga treść: plik .env składa się z wierszy zmiennych, a nie z dokumentu HTML.

Standardy i specyfikacje

• The Twelve-Factor App, rozdział „Config” oddziela konfigurację od kodu i zauważa, że pliki konfiguracyjne trzymane poza repozytorium łatwo przez pomyłkę do niego dodać ^[1].
• OWASP Secrets Management Cheat Sheet stwierdza, że wiele organizacji trzyma sekrety otwartym tekstem w kodzie i plikach konfiguracyjnych ^[3], a zmienne środowiskowe są zwykle dostępne dla wszystkich procesów i mogą trafić do logów ^[3]. Po wycieku zaleca kolejno: natychmiastowe unieważnienie ujawnionych kluczy, szybkie wygenerowanie nowych, usunięcie sekretów z narażonego systemu oraz dostęp zespołu reagowania do historii sekretu ^[3].
• OWASP WSTG-CONF-04 opisuje pliki konfiguracyjne, logi i kopie zapasowe pozostawione w katalogach dostępnych dla serwera WWW jako źródło wycieku, w tym danych dostępowych do bazy ^[4].
• CWE-538 („Insertion of Sensitive Information into Externally-Accessible File or Directory”) to słabość polegająca na umieszczeniu informacji wrażliwych w pliku lub katalogu dostępnym dla podmiotów uprawnionych do tego pliku, ale nie do zapisanych w nim informacji ^[5]. W widoku badawczym MITRE jest potomkiem CWE-200, „Exposure of Sensitive Information to an Unauthorized Actor” ^[5].

Zagrożenia i skutki

Masowe skanowanie. W sierpniu 2024 roku Unit 42 opisał kampanię wymuszeń, której infrastruktura skanowała ponad 230 milionów unikalnych celów w poszukiwaniu odsłoniętych plików środowiskowych ^[8]. Funkcja uruchamiana w chmurze przechodziła po liście domen i dla każdej wysyłała żądanie o plik /.env ^[8]. Atakujący zebrali pliki .env z co najmniej 110 000 domen i ponad 90 000 unikalnych zmiennych, z czego 7 000 należało do usług chmurowych, a 1 500 do kont w mediach społecznościowych ^[8].

Nadużycie kluczy. Z przejętymi kluczami chmury atakujący kopiowali zawartość magazynów danych, kasowali ją i zostawiali w pustym magazynie żądanie okupu, bez szyfrowania danych ^[8]. Unit 42 podkreśla, że przyczyną była błędna konfiguracja po stronie ofiar, a nie podatność dostawców chmury ^[8].

RYS. 1.2Od wycieku klucza do nadużycia

Usunięcie pliku nie kończy incydentu. Klucz, który był choć raz dostępny publicznie, OWASP każe unieważnić i zastąpić nowym ^[3]. Skasowanie pliku zamyka dostęp do niego, ale nie odbiera kopii temu, kto już ją pobrał.

Fałszywe trafienia. Strona błędu podawana z kodem 200 wygląda w samym kodzie odpowiedzi jak istniejący plik ^[4]. Pomiar oparty wyłącznie na kodzie statusu myli wtedy zwykłą stronę HTML z wyciekiem.

Przykłady

Klasyczna instalacja WordPressa trzyma dane połączenia z bazą w pliku wp-config.php w katalogu głównym instalacji ^[10]. Plik .env pojawia się przy nakładkach i szkieletach projektów, takich jak Bedrock, który zarządza ustawieniami przez pliki .env i zmienne środowiskowe, a jako katalog publiczny wskazuje podkatalog web, żeby pliki wrażliwe zostały poza drzewem serwera ^[9].

Sytuacja	Odpowiedź na GET /.env	Znaczenie
.env w katalogu głównym projektu, który jest też katalogiem serwera [2] [7]	200 z wierszami zmiennych	wyciek: klucze do unieważnienia [3]
Bedrock: katalog publiczny web, konfiguracja poza nim [9]	brak pliku pod tym adresem	plik poza drzewem serwera
Apache z domyślną regułą dla .ht* [6]	zależy od położenia pliku	reguła nie obejmuje .env
nginx z blokiem odmowy dla ścieżek z kropką przed innymi wyrażeniami [7]	odmowa dostępu	plik istnieje, ale nie jest podawany
Serwer z własną stroną „nie znaleziono” podawaną z kodem 200 [4]	200 z dokumentem HTML	fałszywe trafienie, treść nie jest plikiem .env
Masowy skaner z listą domen [8]	jedno żądanie o /.env na domenę	odsłonięty plik zostaje zebrany automatycznie