270 हजार परियोजनाओं में प्रयुक्त नोड-नेटमास्क एनपीएम पैकेज में भेद्यता

नोड-नेटमास्क एनपीएम पैकेज, जिसके प्रति सप्ताह लगभग 3 मिलियन डाउनलोड होते हैं और GitHub पर 270 हजार से अधिक परियोजनाओं पर निर्भरता के रूप में उपयोग किया जाता है, में एक भेद्यता (CVE-2021-28918) है जो इसे नेटमास्क का उपयोग करने वाले चेक को बायपास करने की अनुमति देती है। पता श्रेणियों या फ़िल्टरिंग के लिए घटना निर्धारित करने के लिए। नोड-नेटमास्क 2.0.0 की रिलीज़ में समस्या का समाधान कर दिया गया है।

भेद्यता बाहरी आईपी पते को आंतरिक नेटवर्क के पते के रूप में और इसके विपरीत, और एसएसआरएफ (सर्वर-साइड अनुरोध जालसाजी), आरएफआई को पूरा करने के लिए एप्लिकेशन में नोड-नेटमास्क मॉड्यूल का उपयोग करने के एक निश्चित तर्क के साथ इलाज करना संभव बनाती है। (रिमोट फाइल इंक्लूजन) और एलएफआई (लोकल फाइल इंक्लूजन) हमले) आंतरिक नेटवर्क पर संसाधनों तक पहुंचने और निष्पादन श्रृंखला में बाहरी या स्थानीय फाइलों को शामिल करने के लिए। समस्या यह है कि विनिर्देश के अनुसार, शून्य से शुरू होने वाले एड्रेस स्ट्रिंग मानों को ऑक्टल संख्याओं के रूप में व्याख्या किया जाना चाहिए, लेकिन नोड-नेटमास्क मॉड्यूल इसे ध्यान में नहीं रखता है और उन्हें दशमलव संख्याओं के रूप में मानता है।

उदाहरण के लिए, एक हमलावर "0177.0.0.1" मान निर्दिष्ट करके स्थानीय संसाधन का अनुरोध कर सकता है, जो "127.0.0.1" से मेल खाता है, लेकिन "नोड-नेटमास्क" मॉड्यूल शून्य को हटा देगा, और 0177.0.0.1″ को "के रूप में मानेगा।" 177.0.0.1", जो कि एप्लिकेशन में एक्सेस नियमों का मूल्यांकन करते समय, "127.0.0.1" के साथ पहचान निर्धारित करना संभव नहीं होगा। इसी तरह, एक हमलावर पता "0127.0.0.1" निर्दिष्ट कर सकता है, जो "87.0.0.1" के समान होना चाहिए, लेकिन "नोड-नेटमास्क" मॉड्यूल में इसे "127.0.0.1" माना जाएगा। इसी तरह, आप "012.0.0.1" ("10.0.0.1" के बराबर) जैसे मान निर्दिष्ट करके इंट्रानेट पते तक पहुंच के लिए चेक को धोखा दे सकते हैं, लेकिन चेक के दौरान इसे 12.0.0.1 के रूप में संसाधित किया जाएगा)।

समस्या की पहचान करने वाले शोधकर्ता समस्या को विनाशकारी कहते हैं और कई हमले परिदृश्य प्रदान करते हैं, लेकिन उनमें से अधिकांश काल्पनिक लगते हैं। उदाहरण के लिए, यह एक Node.js-आधारित एप्लिकेशन पर हमला करने की संभावना के बारे में बात करता है जो इनपुट अनुरोध के मापदंडों या डेटा के आधार पर संसाधन का अनुरोध करने के लिए बाहरी कनेक्शन स्थापित करता है, लेकिन एप्लिकेशन को विशेष रूप से नामित या विस्तृत नहीं किया गया है। यहां तक ​​​​कि अगर आपको ऐसे एप्लिकेशन मिलते हैं जो दर्ज किए गए आईपी पते के आधार पर संसाधनों को लोड करते हैं, तो यह पूरी तरह से स्पष्ट नहीं है कि स्थानीय नेटवर्क से कनेक्ट किए बिना या "मिरर" आईपी पते पर नियंत्रण प्राप्त किए बिना व्यवहार में भेद्यता का फायदा कैसे उठाया जा सकता है।

शोधकर्ता केवल यह मानते हैं कि 87.0.0.1 (टेलीकॉम इटालिया) और 0177.0.0.1 (ब्रासील टेलीकॉम) के मालिक 127.0.0.1 तक पहुंच प्रतिबंध को बायपास करने में सक्षम हैं। विभिन्न एप्लिकेशन-साइड ब्लॉक सूचियों को बायपास करने के लिए भेद्यता का फायदा उठाना एक अधिक यथार्थवादी परिदृश्य है। इस मुद्दे को एनपीएम मॉड्यूल "प्राइवेट-आईपी" में इंट्रानेट रेंज की परिभाषा साझा करने के लिए भी लागू किया जा सकता है।

स्रोत: opennet.ru