פגיעות בחבילת ה-Node-netmask NPM בשימוש ב-270 אלף פרויקטים

לחבילת ה-Node-netmask NPM, שיש לה כ-3 מיליון הורדות בשבוע ומשמשת כתלות ביותר מ-270 אלף פרויקטים ב-GitHub, ישנה נקודת תורפה (CVE-2021-28918) המאפשרת לה לעקוף בדיקות המשתמשות במסכת הרשת. כדי לקבוע את ההתרחשות לטווחי כתובת או לסינון. הבעיה תוקנה במהדורה של node-netmask 2.0.0.

הפגיעות מאפשרת להתייחס לכתובת IP חיצונית ככתובת מהרשת הפנימית ולהיפך, ובהיגיון מסוים של שימוש במודול node-netmask באפליקציה לביצוע SSRF (Server-side request forgery), RFI (Remote File Inclusion) ו-LFI (Local File Inclusion) התקפות) כדי לגשת למשאבים ברשת הפנימית ולכלול קבצים חיצוניים או מקומיים בשרשרת הביצוע. הבעיה היא שלפי המפרט, ערכי מחרוזת כתובת שמתחילים באפס צריכים להתפרש כמספרים אוקטליים, אך מודול המסכת-הצומת לא לוקח זאת בחשבון ומתייחס אליהם כאל מספרים עשרוניים.

לדוגמה, תוקף יכול לבקש משאב מקומי על-ידי ציון הערך "0177.0.0.1", התואם ל-"127.0.0.1", אך מודול ה-"node-netmask" ימחק את ה-null, ויתייחס ל-0177.0.0.1" כ-" 177.0.0.1", אשר באפליקציה בעת הערכת כללי גישה, לא ניתן יהיה לקבוע זהות עם "127.0.0.1". באופן דומה, תוקף יכול לציין את הכתובת "0127.0.0.1", שאמורה להיות זהה ל-"87.0.0.1", אך תטופל כ"127.0.0.1" במודול "צומת-מסכת רשת". באופן דומה, אתה יכול לרמות את בדיקת הגישה לכתובות אינטרא-נט על ידי ציון ערכים כמו "012.0.0.1" (שווה ערך ל-"10.0.0.1", אך יעובד כ-12.0.0.1 במהלך הבדיקה).

החוקרים שזיהו את הבעיה מכנים את הבעיה קטסטרופלית ומספקים כמה תרחישי תקיפה, אבל רובם נראים ספקולטיביים. לדוגמה, הוא מדבר על האפשרות לתקוף אפליקציה מבוססת Node.js שמקימה חיבורים חיצוניים כדי לבקש משאב על סמך הפרמטרים או הנתונים של בקשת הקלט, אך האפליקציה אינה מכונה או מפורטת במפורש. גם אם תמצאו אפליקציות שטוענות משאבים על סמך כתובות ה-IP שהוזנו, לא לגמרי ברור כיצד ניתן לנצל את הפגיעות בפועל מבלי להתחבר לרשת מקומית או מבלי להשיג שליטה על כתובות IP "שיקוף".

החוקרים רק מניחים שבעלי 87.0.0.1 (Telecom Italia) ו-0177.0.0.1 (Brasil Telecom) מסוגלים לעקוף את הגבלת הגישה ל-127.0.0.1. תרחיש מציאותי יותר הוא לנצל את הפגיעות כדי לעקוף רשימות חסימות שונות בצד היישומים. ניתן להחיל את הבעיה גם על שיתוף ההגדרה של טווחי אינטראנט במודול NPM "private-ip".

מקור: OpenNet.ru