L'azienda Oligo Security ha pubblicato informazioni su una vulnerabilità che colpisce Chrome, Firefox e Safari, consentendo di aggirare le restrizioni di accesso ai servizi di rete disponibili solo sul sistema locale, attraverso una richiesta all'indirizzo IP 0.0.0.0. I primi avvisi riguardo a questa vulnerabilità sono stati pubblicati ben 18 anni fa, ma il problema non è ancora stato risolto.
La vulnerabilità, che si manifesta solo su Linux e macOS, è causata dal fatto che l'indirizzo IP 0.0.0.0 su queste piattaforme porta a contattare l'interfaccia di rete locale (localhost), ovvero l'invio di una richiesta a 0.0.0.0 è analogo a fare una richiesta all'indirizzo 127.0.0.1. Nei moderni browser sono presenti meccanismi per contrastare l'accesso a 127.0.0.1 quando si naviga su siti esterni, poiché potrebbe essere utilizzato per manovre sui servizi interni del sistema dell'utente, accessibili solo ad applicazioni locali.
L'attraversamento dell'host consente di bypassare il divieto di accesso a 127.0.0.1 e di organizzare un attacco ai servizi interni aprendo una pagina esterna controllata dall'attaccante nel browser. Accedendo tramite 0.0.0.0, i meccanismi CORS (Cross-Origin Resource Sharing) e PNA (Private Network Access) non possono ostacolare un simile attacco. È importante notare che il problema non è così banale come sembra e già viene sfruttato da malintenzionati per condurre attacchi reali che sfruttano vulnerabilità critiche in applicazioni server accessibili solo per il sistema locale.
Ad esempio, l'utilizzo di 0.0.0.0 per accedere ai servizi locali è stato registrato negli attacchi ShadowRay e Selenium Grid identificati a marzo e luglio, utilizzati per eseguire codice sui sistemi degli sviluppatori. Nel caso dell'attacco ShadowRay, l'obiettivo erano i sistemi degli sviluppatori che usano il framework AI Ray. Il secondo attacco mirava a sfruttare una vulnerabilità critica nella piattaforma Selenium Grid in configurazioni che accettano richieste solo dal host locale.
Inoltre, viene menzionata la possibilità di applicare il metodo per sfruttare la vulnerabilità ShellTorch in server PyTorch TorchServe, utilizzato sui computer degli sviluppatori di applicazioni AI. L'accesso ai servizi di rete dell'host locale può anche essere utilizzato per la scansione delle porte di rete per identificare indirettamente l'utente.
Gli sviluppatori di Firefox hanno preparato una modifica alla specifica per la chiamata Fetch, vietando l'accesso a 0.0.0.0, ma non hanno ancora definito una data per l'inizio del blocco nel browser. In Chrome, l'accesso a 0.0.0.0 è previsto per essere bloccato nella versione Chrome 128, attesa per la prossima settimana. In Safari, il blocco di 0.0.0.0 è previsto per essere implementato nella versione Safari 18.
Fonte: opennet.ru
