Schwachstelle im HTTP-Server muhttpd, die den Zugriff auf Dateien außerhalb des Arbeitsverzeichnisses ermöglicht

Im HTTP-Server muhttpd, der überwiegend in Routern und Access Points eingesetzt wird, wurde eine Schwachstelle (CVE-2022-31793) identifiziert, die es einem nicht authentifizierten Angreifer ermöglicht, durch das Senden einer speziell gestalteten HTTP-Anfrage beliebige Dateien herunterzuladen, soweit es die Berechtigungen zulassen, unter denen der HTTP-Server ausgeführt wird (in vielen Geräten läuft muhttpd mit Root-Rechten). Beispielsweise kann ein Angreifer auf Dateien mit Passwörtern, Einstellungen für drahtlose Zugänge, Verbindungsparameter zu Anbietern und private Schlüssel zugreifen.

Das Problem beruht auf einem Fehler bei der Verarbeitung des Pfades in der Anfrage, der es erlaubt, auf Dateien außerhalb des Root-Verzeichnisses des Web-Servers zuzugreifen. Der Angriff besteht darin, am Anfang des Pfades ein beliebiges zusätzliches Zeichen anzugeben, das von Punkt, Schrägstrich und Fragezeichen abweicht. Zum Beispiel reicht das Senden der Anfrage „GET a/etc/hosts“ oder „GET a/etc/hosts“ (printf „GET b/etc/hosts\n\n“ | nc server port) aus, um die Datei /etc/hosts herunterzuladen.

Der Grund für dieses Verhalten liegt darin, dass das Öffnen der angeforderten Datei durch den Befehl „open(&req->filename[1], O_RDONLY)“ mit vorheriger Ausführung der Funktion chdir() zum Wechseln ins Root-Verzeichnis erfolgt. WebserverDie Angabe von &req->filename[1] führt dazu, dass das erste Zeichen des Pfades ignoriert wird (die Entwickler gingen davon aus, dass das erste Zeichen immer „/“ ist). Somit versucht der Server bei der Anfrage „GET /etc/hosts“, die Datei über den relativen Pfad „etc/hosts“ zu öffnen, aber wenn man ein beliebiges zusätzliches Zeichen davor angibt („GET a/etc/hosts“) – wird der folgende Pfad vollständig verarbeitet.

Das Problem besteht seit der ersten Version von muhttpd und wurde in der Version 1.1.7 behoben. Bei Geräten, die muhttpd verwenden, wurde das Problem in den Routern von SaskTel und Arris bestätigt. Potenziell kann das Problem auch bei Geräten auftreten, die von AT&T, Frontier und Windstream hergestellt werden. Bei Einschränkung des Zugriffs auf den HTTP-Port nur für das interne Netzwerk kann der Angriff aus dem externen Netzwerk mittels der DNS-Rebinding-Technik durchgeführt werden, die es bei Öffnung einer bestimmten Seite durch den Benutzer im Browser ermöglicht, eine HTTP-Anfrage an einen Netzwerkport zu senden, der nicht direkt über das Internet zugänglich ist.

Quelle: opennet.ru