Une vulnérabilité (CVE-2022-31793) a été découverte dans le serveur HTTP muhttpd, principalement utilisé dans les routeurs et les points d'accès, permettant à un attaquant non authentifié de charger des fichiers arbitraires en envoyant une requête HTTP spécialement formatée, selon les droits d'accès sous lesquels s'exécute le serveur HTTP (dans de nombreux appareils, muhttpd est exécuté avec les droits root). Par exemple, un attaquant peut accéder à des fichiers contenant des mots de passe, des configurations de réseau sans fil, des paramètres de connexion au fournisseur et des clés privées.
Le problème est causé par une erreur dans le traitement du chemin dans la requête, ce qui permet d'accéder à des fichiers en dehors du répertoire racine du serveur web. L'attaque consiste à indiquer au début du chemin un symbole supplémentaire autre qu'un point, une barre oblique ou un point d'interrogation. Par exemple, pour charger le fichier /etc/hosts, il suffit d'envoyer la requête « GET a/etc/hosts » ou « GET a/etc/hosts » (printf « GET b/etc/hosts\n\n » | nc serveur port).
La raison de ce comportement est que l'ouverture du fichier demandé est réalisée par la commande « open(&req->filename[1], O_RDONLY) » après execution de la fonction chdir() pour changer de répertoire vers la racine. Indiquer &req->filename[1] entraîne l'ignorance du premier caractère du chemin (les développeurs supposaient que le premier caractère est toujours « / »). Ainsi, lorsque la requête « GET /etc/hosts » est envoyée, le serveur tentera d'ouvrir le fichier par le chemin relatif « etc/hosts », mais si un symbole supplémentaire est indiqué au début (« GET a/etc/hosts »), le chemin subséquent sera traité dans son intégralité. serveur webLe problème est présent depuis la toute première version de muhttpd et a été corrigé dans la version 1.1.7. Par ailleurs, la présence du problème a été confirmée dans des routeurs SaskTel et Arris utilisant muhttpd. Potentiellement, le problème pourrait également se manifester dans des appareils produits par AT&T, Frontier et Windstream. Lorsque l'accès au port HTTP est limité à un réseau interne, l'attaque peut être réalisée depuis un réseau externe à l'aide de la technique « DNS rebinding », qui permet d'envoyer une requête HTTP vers un port réseau non accessible directement via Internet lorsque l'utilisateur ouvre une certaine page dans son navigateur.
Le problème existe depuis la première version de muhttpd et a été corrigé dans la version 1.1.7. Parmi les appareils utilisant muhttpd, le problème a été confirmé dans les routeurs de SaskTel et d'Arris. Potentiellement, le problème peut également se manifester dans les appareils fabriqués par AT&T, Frontier et Windstream. En limitant l'accès au port HTTP uniquement au réseau interne, l'attaque peut être réalisée depuis un réseau externe en utilisant la technique de « DNS rebinding », permettant qu'en ouvrant une certaine page dans le navigateur, une requête HTTP soit envoyée à un port réseau qui n'est pas accessible par une connexion directe via Internet.
Source : opennet.ru
