Turvaauk NPM-pakendis node-netmask, mida kasutatakse 270 000 projektis

NPM-pakettis node-netmask, millel on nädalas umbes 3 miljonit allalaadimist ja mida kasutatakse enam kui 270 000 projekti sõltuvusena GitHubis, leiti haavatavus (CVE-2021-28918), mis võimaldab mööda minna kontrollidest, kus võrgumaskit kasutatakse aadresside vahemike määramiseks või filtreerimiseks. Probleem on lahendatud node-netmask versioonis 2.0.0.

Haavatavus võimaldab välise IP-aadressi töötlemist sisemise võrgu aadressina ja vastupidi. Teatud kasutusloogika korral node-netmask mooduliga rakenduses saab teostada SSRF (Server-side request forgery), RFI (Remote File Inclusion) ja LFI (Local File Inclusion) rünnakuid, mis suunavad ressursse sisemisse võrgusse ning kaasavad väliste või kohalike failide täitmise ahelasse. Probleem tuleneb sellest, et vastavalt spetsifikatsioonile peavad nulliga algavad stringilised aadressiväärtused olema tõlgendatud kui oktaalarvud, kuid moodul „node-netmask“ ei arvestanud seda eripära ning töötleb neid kümnendarvudena.

Näiteks võib ründaja taotleda kohaliku ressursi, määrates väärtuse „0177.0.0.1”, mis vastab „127.0.0.1”, kuid moodul „node-netmask” ignoreerib nulli ja töötleb 0177.0.0.1 kui „177.0.0.1”, mis rakenduses juurdepääsureeglite hindamisel ei luba määrata ühtsust „127.0.0.1” -ga. Samamoodi võib ründaja näidata aadressi „0127.0.0.1”, mis peaks olema identne „87.0.0.1” -ga, kuid moodul „node-netmask” töötleb seda kui „127.0.0.1”. Samasugune vale on võimalik ka intraneti aadresside kontrollimisel, esitades väärtusi nagu „012.0.0.1” (ekvivalent „10.0.0.1”, kuid kontrollimisel töödeldakse seda kui 12.0.0.1).

Probleemi tuvastanud teadlased nimetavad seda katastroofiliseks ja toovad välja mitmeid rünnaku stsenaariume, kuid enamik neist tundub olema teoreetilised. Näiteks räägitakse võimalusest rünnata Node.js rakendust, mis loob väliseid ühendusi, et küsida ressursse sõltuvalt parameetritest või sisendandmetest, kuid konkreetset rakendust ei nimetata ega detailiseerita. Isegi kui leida rakendusi, mis laadivad ressursse sisestatud andmete põhjal. IP-aadresse, ei ole päris selge, kuidas saaks haavatavust praktikas rakendada, ilma et oleks ühendatud kohaliku võrku või ilma, et oleks kontroll «peegeldavate» IP-aadresside üle.

Uuringud viitavad, et omanikud 87.0.0.1 (Telecom Italia) ja 0177.0.0.1 (Brasil Telecom) võivad olla võimelised ületama juurdepääsu piiri 127.0.0.1. Tõelisem stsenaarium on kasutamine haavatavuse puhul, et ületada erinevaid blokeerimisnimesid, mis on rakenduse poolel rakendatud. Probleem võib samuti olla seotud sisemise IP-aadresside määratlemise vahetamisega NPM-moodulis „private-ip”.

Allikas: opennet.ru