Společnost Oligo Security zveřejnila informace o zranitelnosti postihující Chrome, Firefox a Safari, která umožňuje obejít přístup k lokálně dostupným síťovým službám přístupem k IP adrese 0.0.0.0. První varování před touto zranitelností byla publikována před 18 lety, ale problém zůstává neopravený.
Zranitelnost, která se projevuje pouze v Linux и macOSTo je způsobeno tím, že IP adresa 0.0.0.0 na těchto platformách vede k požadavku na lokální síťové rozhraní (localhost), tj. odeslání požadavku na 0.0.0.0 je totéž jako požadavek na 127.0.0.1. Moderní prohlížeče mají funkce, které brání přístupu k adrese 127.0.0.1 při práci s externími weby, protože ji lze použít k manipulaci s interními službami v systému uživatele, které jsou přístupné pouze lokálním aplikacím.
Tato zranitelnost umožňuje uživateli obejít omezení přístupu k adrese 127.0.0.1 a spustit útok na interní služby otevřením externí stránky ovládané útočníkem v prohlížeči. Při přístupu k adrese 0.0.0.0 nejsou mechanismy CORS (Cross-Origin Resource Sharing) a PNA (Private Network Access) schopny takovému útoku zabránit. Je třeba poznamenat, že problém není tak neškodný, jak se zdá, a útočníci jej již zneužívají v reálných útocích, které využívají kritické zranitelnosti v serverových aplikacích přístupných pouze lokálnímu systému.
Například použití adresy 0.0.0.0 pro přístup k lokálním službám bylo zdokumentováno v útocích ShadowRay a Selenium Grid odhalených v březnu a červenci, které byly použity ke spuštění kódu na vývojářských systémech. Útok ShadowRay cílil na systémy vývojářů používajících framework Ray AI. Druhý útok se zaměřil na kritickou zranitelnost platformy Selenium Grid v konfiguracích, které přijímají požadavky pouze od lokálního hostitele.
Dále je zmíněna možnost využití metody ke zneužití zranitelnosti ShellTorch. server PyTorch TorchServe, používaný na počítačích vývojářů aplikací umělé inteligence. Přístup k síťovým službám localhost lze také použít ke skenování síťových portů pro nepřímou identifikaci uživatelů.
Vývojáři Firefoxu připravili změnu specifikace pro volání Fetch, která zablokuje přístup k adrese 0.0.0.0, ale zatím nestanovili, kdy s blokováním prohlížeče začne. Chrome plánuje začít blokovat přístup k adrese 0.0.0.0 v prohlížeči Chrome 128, což se očekává příští týden. Safari plánuje implementovat blokování adresy 0.0.0.0 v prohlížeči Safari 18.
Zdroj: opennet.ru
