{"id":99604,"date":"2021-03-29T10:22:51","date_gmt":"2021-03-29T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-pakete-node-netmask-primenyaemom-v-270-tysyachah-proektah"},"modified":"2021-03-29T10:22:51","modified_gmt":"2021-03-29T08:22:51","slug":"uyazvimost-v-npm-pakete-node-netmask-primenyaemom-v-270-tysyachah-proektah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-npm-pakete-node-netmask-primenyaemom-v-270-tysyachah-proektah","title":{"rendered":"Sicherheitsanf\u00e4lligkeit im NPM-Paket node-netmask, das in 270.000 Projekten verwendet wird","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Im NPM-Paket node-netmask, das etwa 3 Millionen Downloads pro Woche verzeichnet und in \u00fcber 270.000 Projekten auf GitHub als Abh\u00e4ngigkeit eingesetzt wird, wurde eine Schwachstelle (CVE-2021-28918) entdeckt, die es erm\u00f6glicht, die \u00dcberpr\u00fcfungen zu umgehen, bei denen die Netzwerkmaske verwendet wird, um das Eintreffen in Adressbereiche zu bestimmen oder zur Filterung. Das Problem wurde in der Version node-netmask 2.0.0 behoben. <\/p>\n

Die Schwachstelle erm\u00f6glicht es, eine externe IP-Adresse als Adresse aus dem internen Netzwerk und umgekehrt zu behandeln. Bei bestimmter Logik zur Verwendung des Moduls node-netmask in der Anwendung k\u00f6nnen SSRF- (Server Side Request Forgery), RFI- (Remote File Inclusion) und LFI-Angriffe (Local File Inclusion) durchgef\u00fchrt werden, um auf Ressourcen im internen Netzwerk zuzugreifen und externe oder lokale Dateien in die Ausf\u00fchrungsreihe einzuschlie\u00dfen. Das Problem liegt darin, dass gem\u00e4\u00df der Spezifikation Zeichenfolgenwerte von Adressen, die mit null beginnen, als oktale Zahlen interpretiert werden sollten, das Modul \u00abnode-netmask\u00bb jedoch diese Besonderheit nicht ber\u00fccksichtigt und sie als dezimale Zahlen verarbeitet. <\/p>\n

Ein Angreifer k\u00f6nnte beispielsweise eine lokale Ressource anfordern, indem er den Wert \u00ab0177.0.0.1\u00bb angibt, der \u00ab127.0.0.1\u00bb entspricht. Das Modul \u00abnode-netmask\u00bb ignoriert jedoch die Null und verarbeitet \u00ab0177.0.0.1\u00bb als \u00ab177.0.0.1\u00bb, was in der Anwendung bei der Bewertung von Zugriffsregeln keine Identit\u00e4t zu \u00ab127.0.0.1\u00bb erm\u00f6glicht. Ebenso k\u00f6nnte der Angreifer die Adresse \u00ab0127.0.0.1\u00bb angeben, die identisch mit \u00ab127.0.0.1\u00bb sein sollte, aber im Modul \u00abnode-netmask\u00bb als \u00ab127.0.0.1\u00bb verarbeitet wird. Auf \u00e4hnliche Weise kann man die \u00dcberpr\u00fcfung des Zugriffs auf Intranet-Adressen betr\u00fcgen, indem man Werte wie \u00ab012.0.0.1\u00bb angibt (\u00c4quivalent zu \u00ab10.0.0.1\u00bb, aber bei der \u00dcberpr\u00fcfung als \u00ab12.0.0.1\u00bb behandelt). <\/p>\n

Die Forscher, die das Problem entdeckt haben, beschreiben die Schwachstelle als katastrophal und nennen mehrere Angriffsszenarien, wobei die meisten von ihnen jedoch spekulativ erscheinen. Zum Beispiel wird die M\u00f6glichkeit erw\u00e4hnt, eine Anwendung auf Basis von Node.js anzugreifen, die externe Verbindungen aufbaut, um Ressourcen basierend auf Parametern oder Daten der Eingabeanfrage anzufordern, wobei jedoch keine spezifische Anwendung genannt oder detailliert beschrieben wird. Selbst wenn Anwendungen gefunden werden, die Ressourcen basierend auf Eingaben herunterladen, IP-Adressen<\/a>, es ist nicht ganz klar, wie die Schwachstelle in der Praxis ohne Anschluss an das lokale Netzwerk oder ohne Kontrolle \u00fcber die \u00abspiegelnden\u00bb IP-Adressen angewendet werden kann. <\/p>\n

Forscher vermuten lediglich, dass die Eigent\u00fcmer von 87.0.0.1 (Telecom Italia) und 0177.0.0.1 (Brasil Telecom) die M\u00f6glichkeit haben, die Zugriffsbegrenzung auf 127.0.0.1 zu umgehen. Ein realistischeres Szenario ist die Verwendung der Schwachstelle, um verschiedene Blocklisten zu umgehen, die auf Seiten der Anwendung implementiert sind. Das Problem k\u00f6nnte auch beim Austausch der Definition von Intranet-Bereichen im NPM-Modul \u00abprivate-ip\u00bb Anwendung finden.
\n
Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 NPM-\u043f\u0430\u043a\u0435\u0442\u0435 node-netmask, \u043d\u0430\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u044e\u0449\u0435\u043c \u043e\u043a\u043e\u043b\u043e 3 \u043c\u043b\u043d \u0437\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u0432 \u043d\u0435\u0434\u0435\u043b\u044e \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u043e\u043c \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u0443 \u0431\u043e\u043b\u0435\u0435 270 \u0442\u044b\u0441\u044f\u0447 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432 \u043d\u0430 GitHub, \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2021-28918), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043e\u0431\u043e\u0439\u0442\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, \u0432 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u0441\u0435\u0442\u0435\u0432\u0430\u044f \u043c\u0430\u0441\u043a\u0430 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u043b\u044f \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u0432\u0445\u043e\u0436\u0434\u0435\u043d\u0438\u044f \u0432 \u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d\u044b \u0430\u0434\u0440\u0435\u0441\u043e\u0432 \u0438\u043b\u0438 \u0434\u043b\u044f \u0444\u0438\u043b\u044c\u0442\u0440\u0430\u0446\u0438\u0438. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0430 \u0432 \u0432\u044b\u043f\u0443\u0441\u043a\u0435 node-netmask 2.0.0. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0434\u043e\u0431\u0438\u0442\u044c\u0441\u044f \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0432\u043d\u0435\u0448\u043d\u0435\u0433\u043e IP-\u0430\u0434\u0440\u0435\u0441\u0430 \u043a\u0430\u043a […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-99604","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Schwachstelle im NPM-Paket node-netmask, das in 270.000 Projekten verwendet wird | ProHoster","description":"Im NPM-Paket node-netmask, das etwa 3 Millionen Downloads pro Woche z\u00e4hlt und als Abh\u00e4ngigkeit in \u00fcber 270.000 Projekten auf GitHub verwendet wird, wurde eine Schwachstelle (CVE-2021-28918) entdeckt, die es erm\u00f6glicht, \u00dcberpr\u00fcfungen zu umgehen.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-npm-pakete-node-netmask-primenyaemom-v-270-tysyachah-proektah","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 NPM-\u043f\u0430\u043a\u0435\u0442\u0435 node-netmask, \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0435\u043c\u043e\u043c \u0432 270 \u0442\u044b\u0441\u044f\u0447\u0430\u0445 \u043f\u0440\u043e\u0435\u043a\u0442\u0430\u0445 | ProHoster","og:description":"\u0412 NPM-\u043f\u0430\u043a\u0435\u0442\u0435 node-netmask, \u043d\u0430\u0441\u0447\u0438\u0442\u044b\u0432\u0430\u044e\u0449\u0435\u043c \u043e\u043a\u043e\u043b\u043e 3 \u043c\u043b\u043d \u0437\u0430\u0433\u0440\u0443\u0437\u043e\u043a \u0432 \u043d\u0435\u0434\u0435\u043b\u044e \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u043c\u043e\u043c \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0437\u0430\u0432\u0438\u0441\u0438\u043c\u043e\u0441\u0442\u0438 \u0443 \u0431\u043e\u043b\u0435\u0435 270 \u0442\u044b\u0441\u044f\u0447 \u043f\u0440\u043e\u0435\u043a\u0442\u043e\u0432 \u043d\u0430 GitHub, \u0432\u044b\u044f\u0432\u043b\u0435\u043d\u0430 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c (CVE-2021-28918), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0430\u044f \u043e\u0431\u043e\u0439\u0442\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, \u0432.","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-npm-pakete-node-netmask-primenyaemom-v-270-tysyachah-proektah","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-03-29T08:22:51+00:00","article:modified_time":"2021-03-29T08:22:51+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"99604","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-29 08:24:48","updated":"2026-02-08 20:40:14","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/99604","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=99604"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/99604\/revisions"}],"predecessor-version":[{"id":158019,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/99604\/revisions\/158019"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=99604"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=99604"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=99604"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}