Das Unternehmen Oligo Security hat Informationen über eine Schwachstelle veröffentlicht, die Chrome, Firefox und Safari betrifft und es ermöglicht, den Zugang zu Netzwerkdiensten zu umgehen, die nur auf dem lokalen System verfügbar sind, indem man die IP-Adresse 0.0.0.0 anspricht. Die ersten Warnungen zur Schwachstelle wurden bereits vor 18 Jahren veröffentlicht, das Problem ist jedoch bis heute nicht behoben worden.
Die Schwachstelle, die nur in Linux und macOS auftritt, wird dadurch verursacht, dass die IP-Adresse 0.0.0.0 auf diesen Plattformen zu einem Zugriff auf das lokale Netzwerk-Interface (localhost) führt, d.h. eine Anfrage an 0.0.0.0 ist gleichbedeutend mit einer Anfrage an die Adresse 127.0.0.1. In modernen Browsern gibt es Mechanismen, die den Zugriff auf 127.0.0.1 bei der Verarbeitung externer Websites verhindern, da dies für Manipulationen mit internen Diensten auf dem System des Benutzers, die nur lokalen Anwendungen zugänglich sind, verwendet werden könnte.
Die Schwachstelle ermöglicht es, das Verbot des Zugriffs auf 127.0.0.1 zu umgehen und einen Angriff auf interne Dienste durchzuführen, wenn eine externe Seite, die unter der Kontrolle des Angreifers steht, im Browser geöffnet wird. Bei der Ansprache über 0.0.0.0 können die Mechanismen von CORS (Cross-Origin Resource Sharing) und PNA (Private Network Access) einen solchen Angriff nicht verhindern. Es wird angemerkt, dass das Problem nicht so harmlos ist, wie es scheint, und bereits von Angreifern bei der Durchführung tatsächlicher Angriffe verwendet wird, die kritische Schwachstellen in Serveranwendungen ausnutzen, auf die nur von der lokalen Maschine zugegriffen werden kann.
Zum Beispiel wurde die Nutzung von 0.0.0.0 für den Zugriff auf lokale Dienste bei den im März und Juli erfassten Angriffen von ShadowRay und Selenium Grid festgestellt, die verwendet wurden, um die Ausführung von Code auf den Systemen von Entwicklern zu organisieren. Im Fall des ShadowRay-Angriffs waren Systeme von Entwicklern, die das KI-Framework Ray verwendeten, das Ziel. Der zweite Angriff richtete sich gegen die Ausnutzung einer kritischen Schwachstelle in der Plattform Selenium Grid in Konfigurationen, die Anfragen nur vom lokalen Host akzeptieren.
Darüber hinaus wird die Möglichkeit erwähnt, die Methode zur Ausnutzung der Schwachstelle ShellTorch anzuwenden in Server PyTorch TorchServe wird auf den Computern von Entwicklern von KI-Anwendungen eingesetzt. Der Zugang zu den Netzwerkdiensten des lokalen Hosts kann ebenfalls genutzt werden, um Netzwerkports zur indirekten Identifizierung des Nutzers zu scannen.
Die Entwickler von Firefox haben eine Änderung der Spezifikation für den Fetch-Aufruf vorbereitet, die den Zugang zu 0.0.0.0 verbietet, jedoch bisher keinen Zeitpunkt für den Beginn der Sperrung im Browser festgelegt. In Chrome soll der Zugang zu 0.0.0.0 in der Version Chrome 128 blockiert werden, die nächste Woche erwartet wird. In Safari ist die Blockierung von 0.0.0.0 für die Safari-Version 18 geplant.
Quelle: opennet.ru
