Уязвимост в NPM пакета node-netmask, използван в 270 хиляди проекта

В NPM пакета node-netmask, който има около 3 милиона сваляния на седмица и се използва като зависимост от над 270 хиляди проекта в GitHub, е открита уязвимост (CVE-2021-28918), позволяваща да се заобиколят проверки, при които мрежовата маска се използва за определяне на принадлежността към диапазони от адреси или за филтриране. Проблемът е решен в изданието node-netmask 2.0.0.

Уязвимостта позволява обработката на външен IP адрес като адрес от вътрешната мрежа и обратно, а при определена логика на използване на модула node-netmask в приложението могат да бъдат реализирани атаки SSRF (Server-side request forgery), RFI (Remote File Inclusion) и LFI (Local File Inclusion) за достъп до ресурси във вътрешната мрежа и включване в изпълнителната верига на външни или локални файлове. Проблемът е, че съгласно спецификацията, стринговите стойности на адресите, започващи с нула, трябва да се интерпретират като осмични числа, но модулът „node-netmask“ не взема предвид тази особеност и ги обработва като десетични числа.

Например, атакуващият може да поиска локален ресурс, посочвайки стойността „0177.0.0.1“, която съответства на „127.0.0.1“, но модулът „node-netmask“ ще игнорира нулата и ще обработи 0177.0.0.1 като „177.0.0.1“, което в приложението при оценката на правилата за достъп не ще даде възможност да се установи идентичността с „127.0.0.1“. По аналогичен начин атакуващият може да посочи адреса „0127.0.0.1“, който трябва да съответства на „87.0.0.1“, но в модула „node-netmask“ ще бъде обработен като „127.0.0.1“. Също така може да се заобиколи проверката за достъп до интранет адреси, посочвайки стойности като „012.0.0.1“ (еквивалент на „10.0.0.1“, но при проверка ще бъде обработен като 12.0.0.1).

Изследователите, които откриха проблема, наричат него катастрофален и представят няколко сценария за атака, но повечето от тях изглеждат абстрактни. Например, се споменава за възможността да се атакува приложение, базирано на Node.js, което установява външни връзки за запитване на ресурс, на базата на параметри или данни от входното запитване, но конкретното приложение не се назовава и не се детализира. Дори и да се намерят приложения, изпълняващи зареждане на ресурси на базата на въведените IP адреса, не е напълно ясно как може да се приложи уязвимостта на практика без свързване с локалната мрежа или без получаване на контрол над „огледалните“ IP адреси.

Изследователите само предполагат, че собствениците на 87.0.0.1 (Telecom Italia) и 0177.0.0.1 (Brasil Telecom) имат възможност да заобиколят ограничението за достъп до 127.0.0.1. По-реалистичният сценарий е използването на уязвимост за заобикаляне на различни списъци за блокиране, реализирани на ниво приложение. Проблемът може също да се прилага за разменяне на определението на интранет диапазоните в NPM модула „private-ip“.

Източник: opennet.ru