Das Unternehmen Oligo Security hat Informationen über eine Sicherheitsanfälligkeit veröffentlicht, die Chrome, Firefox und Safari betrifft. Diese ermöglicht es, auf Netzwerkdienste zuzugreifen, die nur auf dem lokalen System verfügbar sind, indem man die IP-Adresse 0.0.0.0 verwendet. Die ersten Warnungen zu dieser Sicherheitsanfälligkeit wurden bereits vor 18 Jahren veröffentlicht, doch bis heute wurde das Problem nicht behoben.
Die Sicherheitsanfälligkeit, die ausschließlich unter Linux und macOS auftritt, resultiert daraus, dass die IP-Adresse 0.0.0.0 auf diesen Plattformen zu einem Zugriff auf das lokale Netzwerk-Interface (localhost) führt. Das Senden einer Anfrage an 0.0.0.0 entspricht somit einer Anfrage an die Adresse 127.0.0.1. Moderne Browser bieten Mittel, um den Zugriff auf 127.0.0.1 bei der Arbeit mit externen Webseiten zu unterbinden, da dies zur Manipulation interner Dienste auf dem System des Benutzers verwendet werden kann, die nur für lokale Anwendungen zugänglich sind.
Die Verwundbarkeit ermöglicht es, das Verbot, auf 127.0.0.1 zuzugreifen, zu umgehen und einen Angriff auf interne Dienste zu organisieren, während eine externe Seite, die dem Angreifer kontrolliert gehört, im Browser geöffnet wird. Bei einem Zugriff über 0.0.0.0 können die CORS (Cross-Origin Resource Sharing)-Mechanismen und PNA (Private Network Access) derartige Angriffe nicht verhindern. Es wird darauf hingewiesen, dass das Problem nicht so harmlos ist, wie es scheint, und bereits von Angreifern bei echten Angriffen genutzt wird, die kritische Schwachstellen in Serveranwendungen ausnutzen, auf die nur das lokale System zugreifen kann.
Zum Beispiel wurde die Nutzung von 0.0.0.0 für den Zugriff auf lokale Dienste in den im März und Juli entdeckten ShadowRay- und Selenium Grid-Angriffen dokumentiert, die genutzt wurden, um Code auf den Systemen von Entwicklern auszuführen. Bei dem ShadowRay-Angriff waren die Systeme von Entwicklern, die das AI-Framework Ray verwendeten, das Ziel. Der zweite Angriff zielte darauf ab, eine kritische Schwachstelle in der Plattform Selenium Grid in Konfigurationen auszunutzen, die Anfragen nur von localhost akzeptierten.
Zusätzlich wird die Möglichkeit erwähnt, die Methode zur Ausnutzung der Schwachstelle ShellTorch einzusetzen in Server PyTorch TorchServe, das auf den Computern von Entwicklern von KI-Anwendungen verwendet wird. Der Zugriff auf lokale Host-Netzwerkservices kann ebenfalls genutzt werden, um Netzwerkports zur indirekten Identifikation von Benutzern zu scannen.
Die Entwickler von Firefox haben eine Änderung der Spezifikation für den Fetch-Aufruf vorbereitet, die den Zugriff auf 0.0.0.0 verbietet, jedoch bisher keinen Zeitrahmen für die Implementierung der Blockierung im Browser festgelegt. In Chrome wird der Zugriff auf 0.0.0.0 voraussichtlich in Ausgabe 128 blockiert, die nächste Woche erwartet wird. In Safari soll die Blockierung von 0.0.0.0 mit Ausgabe 18 implementiert werden.
Quelle: opennet.ru
