Haavatavus Rusti ja Go keelte võrguraamatukogudes, mis võimaldab IP-aadresside kontrolli mööda hiilida

Rusti ja Go standardraamatukogudes on tuvastatud haavatavused, mis on seotud IP-aadresside vale töötlemisega, kui need sisaldavad kaheksandikke, aadressi parsimise funktsioonides. Need haavatavused võimaldavad mööda minna rakendustes kehtestatud lubatud aadresside kontrollidest, näiteks suunates päringud loopback-liidesete (127.x.x.x) või intraneti alamvõrkude poole SSRF (Server-side request forgery) rünnakute käigus. Need haavatavused jätkavad probleeme, mida on varem tuvastatud node-netmask (JavaScript, CVE-2021-28918, CVE-2021-29418), private-ip (JavaScript, CVE-2020-28360), ipaddress (Python, CVE-2021-29921), Data::Validate::IP (Perl, CVE-2021-29662) ja Net::Netmask (Perl, CVE-2021-29424) raamatukogudes.

Vastavalt spetsifikatsioonile peavad stringiväärtused IP-aadresse, mis algavad nulliga, olema tõlgendatavad kui kaheksandikud, kuid paljud raamatukogud ei arvestata seda eripära ja lihtsalt viskavad nulli kõrvale, töötades väärtuse nagu kümnend numbriga. Näiteks number 0177 kaheksandikes on 127 kümnendites. Ründaja võib nõuda ressursi, sisestades väärtuse "0177.0.0.1", mis kümnendlikus vormis vastab "127.0.0.1". Probleemse raamatukogu kasutamisel ei tuvastaks rakendus aadressi 0177.0.0.1 kuuluvust alamvõrku 127.0.0.1/8, kuid päringu saatmisel võib see tegelikult suunata aadressile "0177.0.0.1", mida võrgufunktsioonid töötlevad nagu 127.0.0.1. Sarnasel viisil on võimalik petta ka intraneti aadresside kontrolli, sisestades sarnaseid väärtusi nagu "012.0.0.1" (mis vastab "10.0.0.1").

Rustis on probleemiga seotud standardraamatukogu "std::net" (CVE-2021-29922). Selle raamatukogu IP-aadresside parser viskas nulli aadressi väärtustest välja, kuid ainult juhul, kui oli madalam kui kolm numbrit, näiteks "0177.0.0.1" peetakse kehtetuks, kuid vastuseks "010.8.8.8" ja "127.0.026.1" tagastatakse vale tulemus. Rakendused, mis kasutavad std::net::IpAddr kasutajanäidatud aadresside parsimiseks, võivad olla potentsiaalselt SSRF (Server-side request forgery), RFI (Remote File Inclusion) ja LFI (Local File Inclusion) rünnakutele vastuvõtlikud. Haavatavus on kõrvaldatud Rusti versioonis 1.53.0.

Go keeles on probleemiks standardne teek «net» (CVE-2021-29923). Sisseehitatud funktsioon net.ParseCIDR jätab nullid kaheksandike numbrite ees arvestamata, mitte ei töötle neid. Näiteks võib ründaja edastada väärtuse 00000177.0.0.1, mis kontrollimisel funktsioonis net.ParseCIDR(00000177.0.0.1/24) tõlgendatakse kui 177.0.0.1/24, mitte 127.0.0.1/24. Probleem ilmneb ka Kubernetes platvormil. Haavatavus on kõrvaldatud Go versioonis 1.16.3 ja beetaversioonis 1.17.

Allikas: opennet.ru