Haavatavus NPM-paketis node-netmask, mida kasutatakse 270 000 projektis

NPM pakettis node-netmask, millel on umbes 3 miljonit allalaadimist nädalas ja mida kasutatakse sõltuvusena rohkem kui 270 000 projektis GitHubis, tuvastati haavatavus (CVE-2021-28918), mis võimaldab mööda minna kontrollidest, milles võrgu maski kasutatakse aadresside vahemike määratlemiseks või filtreerimiseks. Probleem on kõrvaldatud versioonis node-netmask 2.0.0.

Haavatavus võimaldab töödelda väliseid IP-aadresse sisemiste aadressidena ja vastupidi, ning teatud kasutusloogika korral node-netmask moodulis rakenduses teostada SSRF (Server-side request forgery), RFI (Remote File Inclusion) ja LFI (Local File Inclusion) rünnakuid, et juurdepääseda ressurssidele sisemises võrgus ning kaasata väliseid või kohalikke faile täitmise ahelasse. Probleem seisneb selles, et spetsifikatsiooni kohaselt peaks nulliga algavaid aadresse käsitlema kaheksakohaliste arvudena, kuid moodul 'node-netmask' ei arvestanud seda eripära ja käsitles neid kümnendnumbrina.

Näiteks võib ründaja küsida kohalikku ressursi, määrates väärtuse '0177.0.0.1', mis vastab '127.0.0.1', kuid moodul 'node-netmask' viskab nulli ning käsitleb '0177.0.0.1' kui '177.0.0.1', mis rakenduses õiguste reeglite hindamisel ei võimalda tuvastada samasust '127.0.0.1' ga. Samuti võib ründaja määrata aadressi '0127.0.0.1', mis peaks olema samaväärne '87.0.0.1' ga, kuid moodulis 'node-netmask' käsitletakse seda kui '127.0.0.1'. Samuti on võimalik eksitada kontrolli intranetiaadresside osas, määrates väärtused nagu '012.0.0.1' (võrdne '10.0.0.1', kuid kontrolli käigus töötleb see kui '12.0.0.1').

Probleemi avastanud teadlased nimetavad probleemi katastroofiliseks ja toovad välja mitmeid rünnakustsenaariume, kuid enamik neist tundub spekulatiivne. Näiteks räägitakse võimalusest rünnata Node.js-põhist rakendust, mis loob väliseid ühendusi ressursi pärimiseks parameetrite või sisendandmete põhjal, kuid konkreetset rakendust ei nimetata ja ei detailita. Isegi kui leida rakendusi, mis teevad ressurside allalaadimist sisestatud andmete põhjal, ei ole selge, kuidas haavatavust praktikas rakendada ilma kohaliku võrgu ühenduseta või ilma 'peegeldavate' IP-aadresse kontrollimata. IP-aadresse, ei ole päris selge, kuidas on võimalik haavatavust praktikas rakendada ilma kohaliku võrgu ühenduseta või ilma tugeva kontrollita 'peegeldavate' IP-aadresside üle.

Uurijad arvatakse ainult, et 87.0.0.1 (Telecom Italia) ja 0177.0.0.1 (Brasil Telecom) omanikud saavad vältida juurdepääsupiiranguid 127.0.0.1. Realistlikum stsenaarium on haavatavuse kasutamine erinevate rakenduse taseme blokeerimisloendite ületamiseks. Probleem võib samuti olla seotud sisetingimuste vahetamisega NPM-mooduli „private-ip“ määratlemisel.

Allikas: opennet.ru