Nel server HTTP muhttpd, utilizzato principalmente nei router e nei punti di accesso, è stata identificata una vulnerabilità (CVE-2022-31793) che consente a un attaccante non autenticato, tramite l'invio di una richiesta HTTP appositamente formattata, di caricare file arbitrari, a condizione che i permessi consentano l'accesso, sotto cui viene eseguito il server HTTP (in molti dispositivi, muhttpd viene eseguito con diritti di root). Ad esempio, un attaccante può accedere a file contenenti password, configurazioni dell'accesso wireless, parametri di connessione con il provider e chiavi private.
Il problema è causato da un errore nella gestione del percorso nella richiesta, il che consente di accedere a file al di fuori della directory radice del server web. L'attacco consiste nel specificare all'inizio del percorso qualsiasi simbolo aggiuntivo diverso da un punto, una barra o un punto interrogativo. Ad esempio, per caricare il file /etc/hosts è sufficiente inviare la richiesta «GET a/etc/hosts» o «GET a/etc/hosts» (printf «GET b/etc/hosts\n\n» | nc server porta).
La causa di questo comportamento è che l'apertura del file richiesto avviene con il comando «open(&req->filename[1], O_RDONLY)» dopo aver eseguito la funzione chdir() per passare alla radice. server webL'indicazione di &req->filename[1] porta a ignorare il primo simbolo del percorso (gli sviluppatori presumevano che il primo simbolo fosse sempre «/»). Pertanto, nella richiesta «GET /etc/hosts», il server cercherà di aprire il file con il percorso relativo «etc/hosts», ma se viene specificato all'inizio qualsiasi simbolo aggiuntivo («GET a/etc/hosts») — il percorso successivo sarà elaborato per intero.
Il problema è presente fin dalla prima versione di muhttpd ed è stato risolto nella versione 1.1.7. Tra i dispositivi che utilizzano muhttpd, la presenza del problema è stata confermata nei router SaskTel e Arris. Potenzialmente, il problema potrebbe manifestarsi anche nei dispositivi prodotti da AT&T, Frontier e Windstream. Limitando l'accesso alla porta HTTP solo alla rete interna, l'attacco può essere portato a termine da una rete esterna tramite la tecnica del «DNS rebinding», che consente, nell'aprire una certa pagina in un browser da parte dell'utente, di inviare una richiesta HTTP a una porta di rete non accessibile direttamente tramite Internet.
Fonte: opennet.ru
