L'azienda Oligo Security ha pubblicato informazioni su una vulnerabilità che colpisce Chrome, Firefox e Safari, e che consente di aggirare le restrizioni di accesso ai servizi di rete disponibili solo sulla rete locale, attraverso una chiamata all'indirizzo IP 0.0.0.0. I primi avvisi sulla vulnerabilità sono stati pubblicati già 18 anni fa, ma finora il problema non è stato risolto.
La vulnerabilità, che si manifesta solo su Linux e macOS, è causata dal fatto che l'indirizzo IP 0.0.0.0 su queste piattaforme porta alla chiamata dell'interfaccia di rete locale (localhost), cioè inviare una richiesta a 0.0.0.0 è equivalente a inviare una richiesta all'indirizzo 127.0.0.1. I moderni browser dispongono di strumenti per contrastare le richieste a 127.0.0.1 quando si interagisce con siti web esterni, poiché ciò potrebbe essere utilizzato per manipolare servizi interni sul sistema dell'utente, accessibili solo ad applicazioni locali.
La vulnerabilità consente di aggirare il divieto di accesso a 127.0.0.1 e di organizzare un attacco ai servizi interni aprendo una pagina esterna controllata dall'attaccante nel browser. Effettuando una richiesta tramite 0.0.0.0, i meccanismi CORS (Cross-Origin Resource Sharing) e PNA (Private Network Access) non possono impedire l'esecuzione di tale attacco. Si segnala che il problema non è così innocuo come sembra ed è già utilizzato da malintenzionati per compiere attacchi reali sfruttando vulnerabilità critiche in applicazioni server, l'accesso alle quali è aperto solo per la rete locale.
Ad esempio, l'uso di 0.0.0.0 per accedere ai servizi locali è stato registrato negli attacchi ShadowRay e Selenium Grid identificati a marzo e luglio, utilizzati per eseguire codice sui sistemi degli sviluppatori. Nel caso dell'attacco ShadowRay, l'obiettivo erano i sistemi degli sviluppatori che utilizzavano il framework AI Ray. Il secondo attacco mirava a sfruttare una vulnerabilità critica nella piattaforma Selenium Grid in configurazioni che accettano richieste solo dall'host locale.
Inoltre, si menziona la possibilità di applicare il metodo per sfruttare la vulnerabilità ShellTorch in server PyTorch TorchServe, utilizzato sui computer degli sviluppatori di applicazioni AI. L'accesso ai servizi di rete dell'host locale può anche essere utilizzato per la scansione delle porte di rete al fine di identificare indirettamente l'utente.
Gli sviluppatori di Firefox hanno preparato una modifica della specifica per la chiamata Fetch, vietando l'accesso a 0.0.0.0, ma non hanno ancora definito quando inizierà il blocco nel browser. In Chrome, l'accesso a 0.0.0.0 è previsto di essere bloccato nella versione Chrome 128, attesa per la prossima settimana. In Safari si prevede di implementare il blocco di 0.0.0.0 nella versione Safari 18.
Fonte: opennet.ru
