{"id":99604,"date":"2021-03-29T10:22:51","date_gmt":"2021-03-29T08:22:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-npm-pakete-node-netmask-primenyaemom-v-270-tysyachah-proektah"},"modified":"2021-03-29T10:22:51","modified_gmt":"2021-03-29T08:22:51","slug":"uyazvimost-v-npm-pakete-node-netmask-primenyaemom-v-270-tysyachah-proektah","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-npm-pakete-node-netmask-primenyaemom-v-270-tysyachah-proektah","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans le paquet NPM node-netmask, utilis\u00e9e dans 270 000 projets","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Dans le paquet NPM node-netmask, qui compte environ 3 millions de t\u00e9l\u00e9chargements par semaine et est utilis\u00e9 comme d\u00e9pendance par plus de 270 000 projets sur GitHub, une vuln\u00e9rabilit\u00e9 (CVE-2021-28918) a \u00e9t\u00e9 identifi\u00e9e, permettant de contourner les v\u00e9rifications o\u00f9 le masque r\u00e9seau est utilis\u00e9 pour d\u00e9terminer l'appartenance \u00e0 des plages d'adresses ou pour le filtrage. Le probl\u00e8me a \u00e9t\u00e9 r\u00e9solu dans la version node-netmask 2.0.0. <\/p>\n
La vuln\u00e9rabilit\u00e9 permet de traiter une adresse IP externe comme une adresse d'un r\u00e9seau interne et vice versa, et avec une certaine logique d'utilisation du module node-netmask dans l'application, de r\u00e9aliser des attaques SSRF (Server-side request forgery), RFI (Remote File Inclusion) et LFI (Local File Inclusion) pour acc\u00e9der aux ressources du r\u00e9seau interne et inclure dans la cha\u00eene d'ex\u00e9cution des fichiers externes ou locaux. Le probl\u00e8me r\u00e9side dans le fait que selon la sp\u00e9cification, les valeurs de cha\u00eene d'adresses commen\u00e7ant par z\u00e9ro doivent \u00eatre interpr\u00e9t\u00e9es comme des nombres octaux, mais le module \u00ab node-netmask \u00bb ne prend pas en compte cette particularit\u00e9 et les traite comme des nombres d\u00e9cimaux. <\/p>\n
Par exemple, un attaquant peut demander une ressource locale en indiquant la valeur \u00ab 0177.0.0.1 \u00bb, qui correspond \u00e0 \u00ab 127.0.0.1 \u00bb, mais le module \u00ab node-netmask \u00bb va ignorer le z\u00e9ro et traiter \u00ab 0177.0.0.1 \u00bb comme \u00ab 177.0.0.1 \u00bb, ce qui dans l'application, lors de l'\u00e9valuation des r\u00e8gles d'acc\u00e8s, ne permettra pas de d\u00e9terminer l'identit\u00e9 avec \u00ab 127.0.0.1 \u00bb. De m\u00eame, un attaquant peut sp\u00e9cifier l'adresse \u00ab 0127.0.0.1 \u00bb, qui devrait \u00eatre identique \u00e0 \u00ab 87.0.0.1 \u00bb, mais dans le module \u00ab node-netmask \u00bb, elle sera trait\u00e9e comme \u00ab 127.0.0.1 \u00bb. On peut \u00e9galement contourner la v\u00e9rification des acc\u00e8s aux adresses intranet en indiquant des valeurs telles que \u00ab 012.0.0.1 \u00bb (\u00e9quivalent de \u00ab 10.0.0.1 \u00bb, mais lors de la v\u00e9rification, elle sera trait\u00e9e comme 12.0.0.1). <\/p>\n