Veakindel veebibrauseridest, mis võimaldab rünnata kohalikke teenuseid HTTP 0.0.0.0 kaudu

Oligo Security avaldas teavet haavatavuse kohta, mis mõjutab Chrome'i, Firefoxi ja Safari't, ning võimaldab mööda minna kohalike süsteemide jaoks saadaval olevate võrguteenuste juurdepääsu piirangutest, pöördudes IP-aadressi 0.0.0.0 kaudu. Esimesed hoiatused haavatavuse kohta avaldati juba 18 aastat tagasi, kuid probleem pole siiani lahendust leidnud.

Haavatavus, mis ilmneb ainult Linuxis ja macOS-is, tuleneb sellest, et IP-aadress 0.0.0.0 toob nendel platvormidel kaasa pöördumise kohaliku võrgu liidese (localhost) poole, st päringu saatmine 0.0.0.0-ile on sarnane päringule aadressile 127.0.0.1. Kaasaegsetes brauserites on olemas meetmed, et takistada pöördumist 127.0.0.1 poole väliste veebisaitide kasutamisel, kuna seda võib kasutada kasutaja süsteemis ainult kohalike rakendustega ligipääsetavate sise teenuste manipuleerimiseks.

Haavatavus võimaldab ületada keelu pöörduda 127.0.0.1 poole ja korraldada rünnakuid sise teenuste vastu, avades brauseris ründe alla kuuluva välise lehe. Pöördudes läbi 0.0.0.0, ei suuda CORS (Cross-Origin Resource Sharing) ja PNA (Private Network Access) mehhanismid takistada sellist rünnakut. Tõdetakse, et probleem ei ole nii kahjutu, nagu see tundub, ja seda kasutavad kurjategijad reaalseid rünnakute teostamisel, mis kasutavad kriitilisi haavatavusi serveri rakendustes, millele on juurdepääs ainult kohalikele süsteemidele.

Näiteks on 0.0.0.0 kasutamine kohalike teenuste juurdepääsuks registreeritud märtsis ja juulis toimunud ShadowRay ja Selenium Grid rünnakutes, mis kasutati koodi täitmise korraldamiseks arendajate süsteemides. ShadowRay rünnaku sihtmärgiks olid arendajate süsteemid, kes kasutasid AI raamistikku Ray. Teine rünnak oli suunatud kriitilise haavatavuse ärakasutamisele Selenium Grid'i platvormil, mille konfiguratsioonid võtavad vastu päringud ainult kohalikult hostilt.

Lisaks mainitakse meetodi rakendamise võimalust ShellTorch haavatavuse ärakasutamiseks serveris PyTorch TorchServe'is, mida kasutatakse AI-rakenduste arendajate arvutites. Kohaliku hosti võrguteenustele juurdepääsu võib samuti kasutada võrgu portide skannimiseks kasutaja kaudseks tuvastamiseks.

Firefoxi arendajad on valmis muutma Fetchi spetsifikatsiooni, keelates juurdepääsu 0.0.0.0-le, kuid pole veel määranud, millal blokeerimine brauseris algab. Chrome'is plaanitakse juurdepääsu 0.0.0.0 blokeerida Chrome 128 väljalaskes, mis on oodatav järgmisel nädalal. Safari plaanib 0.0.0.0 blokeerimist rakendada Safari 18 väljalaskes.

Allikas: opennet.ru