פגיעות של תצורת Nginx עם הגדרות חסימת כינוי שגויות

חלק משרתי Nginx נשארים פגיעים לטכניקת Nginx Alias ​​Traversal, שהוצעה בכנס Blackhat בשנת 2018 ומאפשרת גישה לקבצים וספריות הממוקמים מחוץ לספריית השורש שצוינה בהנחיית "כינוי". הבעיה מופיעה רק בתצורות עם הנחיית "כינוי" הממוקמת בתוך בלוק "מיקום" שהפרמטר שלו אינו מסתיים בתו "/", בעוד "כינוי" מסתיים ב-"/".

מהות הבעיה היא שקבצים לבלוקים עם ההנחיה הכינוי מוגשת על ידי צירוף הנתיב המבוקש, לאחר השוואתו למסכה מהנחיית המיקום וחיתוך החלק של הנתיב המצוין במסיכה זו. לדוגמא של תצורה פגיעה המוצגת לעיל, תוקף יכול לבקש את הקובץ "/img../test.txt" ובקשה זו תיפול תחת מסכת "/img" שצוינה במיקום, ולאחר מכן הזנב הנותר ".. /test.txt" יצורף לנתיב מהנחיית הכינוי "/var/images/" ובסופו של דבר יבקש את הקובץ "/var/images/../test.txt". לפיכך, תוקפים יכולים לגשת לכל קבצים בספריית "/var", ולא רק לקבצים ב-"/var/images/", למשל, כדי להוריד את יומן ה-nginx, אתה יכול לשלוח את הבקשה "/img../log/ nginx/access.log".

בתצורות שבהן הערך של הוראת הכינוי אינו מסתיים בתו "/" (לדוגמה, "כינוי /var/images;"), התוקף לא יכול לעבור לספריית האב, אך יכול לבקש ספרייה אחרת ב-/var שהשם שלו מתחיל באותו שצוין בתצורה. לדוגמה, על ידי בקשת "/img.old/test.txt" תוכל לגשת לספרייה "var/images.old/test.txt".

ניתוח של מאגרים ב- GitHub הראה ששגיאות בתצורת nginx שמובילות לבעיה עדיין מתרחשות בפרויקטים אמיתיים. לדוגמה, הבעיה זוהתה בקצה האחורי של מנהל הסיסמאות של Bitwarden וניתן להשתמש בה כדי לגשת לכל הקבצים בספריית /etc/bitwarden (/בקשות מצורפות הונפקו מ-/etc/bitwarden/attachments/), כולל "הכספת .db", אישור ויומנים, כדי להשיג אותם היה מספיק לשלוח בקשות "/attachments../vault.db", "/attachments../identity.pfx", "/attachments../logs/api.log " וכו' .פ.

השיטה עבדה גם עם Google HPC Toolkit, שהפנה מחדש בקשות /סטטיות לספריית "../hpc-toolkit/community/front-end/website/static/". כדי להשיג מסד נתונים עם מפתח פרטי ואישורים, תוקף יכול לשלוח בקשות "/static../.secret_key" ו-"/static../db.sqlite3".

מקור: OpenNet.ru