{"id":109263,"date":"2023-07-05T21:10:21","date_gmt":"2023-07-05T19:10:24","guid":{"rendered":"https:\/\/prohoster.info\/?p=109263"},"modified":"2023-07-06T09:41:50","modified_gmt":"2023-07-06T07:41:50","slug":"uyazvimost-konfiguraczij-nginx-s-nekorrektnymi-nastrojkami-bloka-alias","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-konfiguraczij-nginx-s-nekorrektnymi-nastrojkami-bloka-alias","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in Nginx-Konfigurationen mit fehlerhaften Alias-Block-Einstellungen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Einige Server mit Nginx bleiben anf\u00e4llig f\u00fcr die Nginx Alias Traversal-Technik, die 2018 auf der Blackhat-Konferenz vorgestellt wurde und den Zugriff auf Dateien und Verzeichnisse erm\u00f6glicht, die au\u00dferhalb des durch die Direktive «alias» festgelegten Root-Verzeichnisses liegen. Das Problem tritt nur in Konfigurationen mit der Direktive «alias» auf, die innerhalb eines «location»-Blocks platziert ist, wobei der Parameter nicht mit dem Zeichen «\/» endet, w\u00e4hrend «alias» mit «\/» endet.

\"Sicherheitsanf\u00e4lligkeit<\/center> <\/p>\n

Das Problem besteht darin, dass Dateien f\u00fcr Bl\u00f6cke mit der Direktive alias \u00fcber die angeforderte Route bereitgestellt werden, nachdem diese mit dem Muster der Direktive location abgeglichen und der in diesem Muster angegebene Teil des Pfades herausgeschnitten wurde. F\u00fcr das oben gezeigte Beispiel einer verwundbaren Konfiguration kann der Angreifer die Datei \"\/img..\/test.txt\" anfordern, und diese Anfrage f\u00e4llt unter das in location angegebene Muster \"\/img\", wonach der verbleibende Teil \"..\/test.txt\" an den Pfad aus der Direktive alias \"\/var\/images\/\" angeh\u00e4ngt wird. Schlie\u00dflich wird die Datei \"\/var\/images\/..\/test.txt\" angefordert. So kann der Angreifer auf beliebige Dateien im Verzeichnis \"\/var\" zugreifen und nicht nur auf Dateien in \"\/var\/images\/\". Um beispielsweise das Nginx-Protokoll herunterzuladen, kann eine Anfrage an \"\/img..\/log\/nginx\/access.log\" gesendet werden. <\/p>\n

In Konfigurationen, in denen der Wert der Direktive alias nicht mit dem Zeichen \"\/\" endet (z. B. \"alias \/var\/images;\") kann der Angreifer nicht in das \u00fcbergeordnete Verzeichnis wechseln, hat jedoch die M\u00f6glichkeit, ein anderes Verzeichnis in \/var anzufordern, dessen Name mit dem in der Konfiguration angegebenen \u00fcbereinstimmt. Wenn man beispielsweise \"\/img.old\/test.txt\" anfordert, kann man auf das Verzeichnis \"var\/images.old\/test.txt\" zugreifen. <\/p>\n

Die Analyse der Repositories auf GitHub hat gezeigt, dass fehlerhafte Nginx-Konfigurationen, die zu Problemen f\u00fchren, nach wie vor in realen Projekten anzutreffen sind. Zum Beispiel wurde ein solches Problem im Backend des Passwortmanagers Bitwarden entdeckt, das dazu h\u00e4tte verwendet werden k\u00f6nnen, um auf alle Dateien im Verzeichnis \/etc\/bitwarden zuzugreifen (Anfragen an \/attachments wurden aus \/etc\/bitwarden\/attachments\/ bereitgestellt), einschlie\u00dflich der dort gespeicherten Datenbank vault.db, des Zertifikats und der Protokolle. Um darauf zuzugreifen, gen\u00fcgte es, die Anfragen '\/attachments..\/vault.db', '\/attachments..\/identity.pfx', '\/attachments..\/logs\/api.log' usw. zu senden.

\"Sicherheitsanf\u00e4lligkeit<\/center>
\"Sicherheitsanf\u00e4lligkeit<\/center> <\/p>\n

Die Methode funktionierte auch mit dem Google HPC Toolkit, bei dem Anfragen an \/static in das Verzeichnis ..\/hpc-toolkit\/community\/front-end\/website\/static\/ umgeleitet wurden. Um an die Datenbank mit dem geheimen Schl\u00fcssel und den Anmeldeinformationen zu gelangen, konnte der Angreifer Anfragen an '\/static..\/.secret_key' und '\/static..\/db.sqlite3' senden.

\"Sicherheitsanf\u00e4lligkeit<\/center>
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u044b \u0441 nginx \u043e\u0441\u0442\u0430\u044e\u0442\u0441\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u044b \u0434\u043b\u044f \u0442\u0435\u0445\u043d\u0438\u043a\u0438 Nginx Alias Traversal, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0431\u044b\u043b\u0430 \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u0430 \u043d\u0430 \u043a\u043e\u043d\u0444\u0435\u0440\u0435\u043d\u0446\u0438\u0438 Blackhat \u0435\u0449\u0451 \u0432 2018 \u0433\u043e\u0434\u0443 \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0444\u0430\u0439\u043b\u0430\u043c \u0438 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430\u043c, \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d\u043d\u044b\u043c \u0432\u043d\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430, \u0437\u0430\u0434\u0430\u043d\u043d\u043e\u0433\u043e \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u0438\u0432\u0435 «alias». \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043f\u0440\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f\u0445 \u0441 \u0434\u0438\u0440\u0435\u043a\u0442\u0438\u0432\u043e\u0439 «alias», \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d\u043d\u043e\u0439 \u0432\u043d\u0443\u0442\u0440\u0438 \u0431\u043b\u043e\u043a\u0430 «location», \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043d\u0435 \u0437\u0430\u0432\u0435\u0440\u0448\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u0441\u0438\u043c\u0432\u043e\u043b […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":109264,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-109263","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Sicherheitsl\u00fccke in Nginx-Konfigurationen mit fehlerhaften Alias-Einstellungen | ProHoster","description":"Einige Nginx-Server bleiben anf\u00e4llig f\u00fcr die Nginx Alias Traversal-Technik, die 2018 auf der Blackhat-Konferenz vorgestellt wurde und den Zugriff auf Dateien und Verzeichnisse au\u00dferhalb des in der \"alias\"-Direktive festgelegten Stammverzeichnisses erm\u00f6glicht. Das Problem tritt nur in Konfigurationen mit der \"alias\"-Direktive auf, die innerhalb des \"location\"-Blocks platziert ist und deren Parameter nicht mit einem Zeichen endet.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-konfiguraczij-nginx-s-nekorrektnymi-nastrojkami-bloka-alias","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u0439 Nginx \u0441 \u043d\u0435\u043a\u043e\u0440\u0440\u0435\u043a\u0442\u043d\u044b\u043c\u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0430\u043c\u0438 \u0431\u043b\u043e\u043a\u0430 alias | ProHoster","og:description":"\u041d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0441\u0435\u0440\u0432\u0435\u0440\u044b \u0441 nginx \u043e\u0441\u0442\u0430\u044e\u0442\u0441\u044f \u0443\u044f\u0437\u0432\u0438\u043c\u044b \u0434\u043b\u044f \u0442\u0435\u0445\u043d\u0438\u043a\u0438 Nginx Alias Traversal, \u043a\u043e\u0442\u043e\u0440\u0430\u044f \u0431\u044b\u043b\u0430 \u043f\u0440\u0435\u0434\u043b\u043e\u0436\u0435\u043d\u0430 \u043d\u0430 \u043a\u043e\u043d\u0444\u0435\u0440\u0435\u043d\u0446\u0438\u0438 Blackhat \u0435\u0449\u0451 \u0432 2018 \u0433\u043e\u0434\u0443 \u0438 \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u0444\u0430\u0439\u043b\u0430\u043c \u0438 \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430\u043c, \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d\u043d\u044b\u043c \u0432\u043d\u0435 \u043a\u043e\u0440\u043d\u0435\u0432\u043e\u0433\u043e \u043a\u0430\u0442\u0430\u043b\u043e\u0433\u0430, \u0437\u0430\u0434\u0430\u043d\u043d\u043e\u0433\u043e \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u0438\u0432\u0435 "alias". \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043f\u0440\u043e\u044f\u0432\u043b\u044f\u0435\u0442\u0441\u044f \u0442\u043e\u043b\u044c\u043a\u043e \u0432 \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044f\u0445 \u0441 \u0434\u0438\u0440\u0435\u043a\u0442\u0438\u0432\u043e\u0439 "alias", \u0440\u0430\u0437\u043c\u0435\u0449\u0451\u043d\u043d\u043e\u0439 \u0432\u043d\u0443\u0442\u0440\u0438 \u0431\u043b\u043e\u043a\u0430 "location", \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440 \u043a\u043e\u0442\u043e\u0440\u043e\u0439 \u043d\u0435 \u0437\u0430\u0432\u0435\u0440\u0448\u0430\u0435\u0442\u0441\u044f \u043d\u0430 \u0441\u0438\u043c\u0432\u043e\u043b","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-konfiguraczij-nginx-s-nekorrektnymi-nastrojkami-bloka-alias","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2023-07-05T19:10:24+00:00","article:modified_time":"2023-07-06T07:41:50+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/109263","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=109263"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/109263\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/109264"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=109263"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=109263"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=109263"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}