रस्ट और गो भाषाओं की नेटवर्क लाइब्रेरी में भेद्यता जो आपको आईपी एड्रेस सत्यापन को बायपास करने की अनुमति देती है

रस्ट और गो भाषाओं के मानक पुस्तकालयों में पता पार्सिंग कार्यों में ऑक्टल अंकों के साथ आईपी पते की गलत प्रसंस्करण से संबंधित कमजोरियों की पहचान की गई है। कमजोरियाँ अनुप्रयोगों में वैध पतों की जांच को बायपास करना संभव बनाती हैं, उदाहरण के लिए, एसएसआरएफ (सर्वर-साइड अनुरोध जालसाजी) हमलों को अंजाम देते समय लूपबैक इंटरफ़ेस पते (127.xxx) या इंट्रानेट सबनेट तक पहुंच को व्यवस्थित करना। कमजोरियाँ लाइब्रेरी नोड-नेटमास्क (जावास्क्रिप्ट, सीवीई-2021-28918, सीवीई-2021-29418), प्राइवेट-आईपी (जावास्क्रिप्ट, सीवीई-2020-28360), आईपैडड्रेस (पायथन, सीवीई-) में पहले से पहचानी गई समस्याओं का चक्र जारी रखती हैं। 2021-29921 ), डेटा::वैलिडेट::आईपी (पर्ल, सीवीई-2021-29662) और नेट::नेटमास्क (पर्ल, सीवीई-2021-29424)।

विनिर्देश के अनुसार, शून्य से शुरू होने वाले आईपी एड्रेस स्ट्रिंग मानों को ऑक्टल संख्याओं के रूप में व्याख्या किया जाना चाहिए, लेकिन कई पुस्तकालय इसे ध्यान में नहीं रखते हैं और मान को दशमलव संख्या के रूप में मानते हुए शून्य को छोड़ देते हैं। उदाहरण के लिए, अष्टक में संख्या 0177 दशमलव में 127 के बराबर है। एक हमलावर "0177.0.0.1" मान निर्दिष्ट करके संसाधन का अनुरोध कर सकता है, जो दशमलव अंकन में "127.0.0.1" से मेल खाता है। यदि समस्याग्रस्त लाइब्रेरी का उपयोग किया जाता है, तो एप्लिकेशन यह पता नहीं लगाएगा कि पता 0177.0.0.1 सबनेट 127.0.0.1/8 में है, लेकिन वास्तव में, अनुरोध भेजते समय, यह पते "0177.0.0.1" तक पहुंच सकता है, जो कि नेटवर्क फ़ंक्शंस 127.0.0.1 के रूप में संसाधित होंगे। इसी तरह, आप "012.0.0.1" ("10.0.0.1" के बराबर) जैसे मान निर्दिष्ट करके इंट्रानेट पते तक पहुंच की जांच को धोखा दे सकते हैं।

रस्ट में, मानक लाइब्रेरी "std::net" एक समस्या (CVE-2021-29922) से प्रभावित थी। इस लाइब्रेरी के आईपी एड्रेस पार्सर ने पते में मानों से पहले एक शून्य हटा दिया, लेकिन केवल अगर तीन से अधिक अंक निर्दिष्ट नहीं किए गए थे, उदाहरण के लिए, "0177.0.0.1" को एक अमान्य मान और एक गलत परिणाम माना जाएगा। 010.8.8.8 और 127.0.026.1 के जवाब में लौटाया जाएगा। उपयोगकर्ता-निर्दिष्ट पते को पार्स करते समय std::net::IpAddr का उपयोग करने वाले एप्लिकेशन संभावित रूप से SSRF (सर्वर-साइड अनुरोध जालसाजी), RFI (रिमोट फ़ाइल समावेशन) और LFI (स्थानीय फ़ाइल समावेशन) हमलों के लिए अतिसंवेदनशील होते हैं। रस्ट 1.53.0 शाखा में भेद्यता ठीक की गई थी।

गो में, मानक लाइब्रेरी "नेट" प्रभावित होती है (CVE-2021-29923)। Net.ParseCIDR बिल्ट-इन फ़ंक्शन ऑक्टल संख्याओं से पहले अग्रणी शून्य को संसाधित करने के बजाय छोड़ देता है। उदाहरण के लिए, एक हमलावर 00000177.0.0.1 मान पास कर सकता है, जिसे जब नेट.ParseCIDR(00000177.0.0.1/24) फ़ंक्शन में चेक किया जाता है, तो उसे 177.0.0.1/24 के रूप में पार्स किया जाएगा, न कि 127.0.0.1/24 के रूप में। समस्या कुबेरनेट्स प्लेटफ़ॉर्म में भी प्रकट होती है। गो रिलीज़ 1.16.3 और बीटा 1.17 में भेद्यता ठीक कर दी गई है।

स्रोत: opennet.ru