Уязвимост в мрежовите библиотеки на езиците Rust и Go, позволяваща заобикаляне на проверката на IP адреси

В стандартните библиотеки на езиците Rust и Go са открити уязвимости, свързани с некоректната обработка на IP адреси с осмични цифри в функциите за анализ на адреса. Уязвимостите позволяват заобикаляне на проверките за допустимите адреси в приложенията, например, за организиране на достъп до адресите на loopback интерфейса (127.x.x.x) или интранет подсетите при извършване на атаки SSRF (сървърна заявка за фалшификация). Уязвимостите продължават цикъла от проблеми, преди това идентифицирани в библиотеките node-netmask (JavaScript, CVE-2021-28918, CVE-2021-29418), private-ip (JavaScript, CVE-2020-28360), ipaddress (Python, CVE-2021-29921), Data::Validate::IP (Perl, CVE-2021-29662) и Net::Netmask (Perl, CVE-2021-29424).

Според спецификацията, стринговите стойности IP адреса, започващи с нула, трябва да се интерпретират като осмични числа, но много библиотеки не вземат предвид тази особеност и просто отрязват нулата, обработвайки стойността като десетично число. Например, числото 0177 в осмична система е равно на 127 в десетична. Нападателят може да поиска ресурс, посочвайки стойността „0177.0.0.1“, която в десетично представяне отговаря на „127.0.0.1“. В случай на използване на проблемната библиотека, приложението няма да определи присъствието на адреса 0177.0.0.1 в подсет 127.0.0.1/8, но всъщност при изпращане на заявка може да извърши достъп до адреса „0177.0.0.1“, който мрежовите функции ще обработят като 127.0.0.1. По подобен начин може да се заблуди и проверката за достъп до интранет адреси, посочвайки стойности като „012.0.0.1“ (еквивалентно на „10.0.0.1“).

В Rust, проблемна се оказа стандартната библиотека „std::net“ (CVE-2021-29922). Парсерът на IP адреси на тази библиотека отрязваше нула преди стойностите в адреса, но само ако са посочени не повече от три цифри, например, „0177.0.0.1“ ще бъде възприето като невалидна стойност, а като отговор на 010.8.8.8 и 127.0.026.1 ще бъде върнат неверен резултат. Приложенията, използващи std::net::IpAddr при анализа на посочените от потребителя адреси, потенциално са уязвими на атаки SSRF (сървърна заявка за фалшификация), RFI (включване на отдалечен файл) и LFI (включване на локален файл). Уязвимостта е отстранена в версия Rust 1.53.0.

В езика Go стандартната библиотека „net“ е подложена на проблеми (CVE-2021-29923). Вградената функция net.ParseCIDR пропуска нулите пред осемичните числа вместо да ги обработи. Например, атакуващият може да подаде стойност 00000177.0.0.1, която при проверка в функцията net.ParseCIDR(00000177.0.0.1/24) ще бъде разчетена като 177.0.0.1/24, а не 127.0.0.1/24. Проблемът се проявява и в платформата Kubernetes. Уязвимостта е отстранена в версия Go 1.16.3 и бета версия 1.17.

Източник: opennet.ru