פגיעות בספריות הרשת של שפות Rust ו-Go המאפשרת לך לעקוף את אימות כתובת ה-IP

נקודות תורפה הקשורות לעיבוד שגוי של כתובות IP עם ספרות אוקטליות בפונקציות ניתוח כתובות זוהו בספריות הסטנדרטיות של שפות Rust ו-Go. הפגיעויות מאפשרות לעקוף בדיקות של כתובות חוקיות ביישומים, למשל, כדי לארגן גישה לכתובות ממשק loopback (127.xxx) או רשתות משנה של אינטראנט בעת ביצוע התקפות SSRF (Server-side request forgery). הפגיעויות ממשיכות את מעגל הבעיות שזוהו בעבר בספריות צומת-רשת (JavaScript, CVE-2021-28918, CVE-2021-29418), פרטי-ip (JavaScript, CVE-2020-28360), כתובת ipad (Python, CVE- 2021-29921 ), Data::Validate::IP (Perl, CVE-2021-29662) ו-Net::Netmask (Perl, CVE-2021-29424).

על פי המפרט, ערכי מחרוזת כתובת IP המתחילים באפס צריכים להתפרש כמספרים אוקטליים, אך ספריות רבות אינן לוקחות זאת בחשבון ופשוט פוסלות את האפס, ומתייחסות לערך כמספר עשרוני. לדוגמה, המספר 0177 באוקטאל שווה ל-127 בעשרוני. תוקף יכול לבקש משאב על ידי ציון הערך "0177.0.0.1", אשר בסימון עשרוני מתאים ל-"127.0.0.1". אם נעשה שימוש בספרייה הבעייתית, האפליקציה לא תזהה שהכתובת 0177.0.0.1 נמצאת ברשת המשנה 127.0.0.1/8, אך למעשה, בעת שליחת בקשה, היא יכולה לגשת לכתובת "0177.0.0.1", אשר פונקציות הרשת יעבדו כ-127.0.0.1. באופן דומה, אתה יכול לרמות את בדיקת הגישה לכתובות אינטראנט על ידי ציון ערכים כמו "012.0.0.1" (שווה ערך ל"10.0.0.1").

ב-Rust, הספרייה הסטנדרטית "std::net" הושפעה מבעיה (CVE-2021-29922). מנתח כתובות ה-IP של ספריה זו זרק אפס לפני הערכים בכתובת, אך רק אם לא צוינו יותר משלוש ספרות, לדוגמה, "0177.0.0.1" ייתפס כערך לא חוקי ותוצאה שגויה יוחזר בתגובה ל-010.8.8.8 ו-127.0.026.1. יישומים המשתמשים ב-std::net::IpAddr בעת ניתוח כתובות שצוינו על ידי המשתמש עלולות להיות רגישות להתקפות SSRF (זיוף בקשות בצד השרת), RFI (הכללת קבצים מרוחק) ו-LFI (הכללת קבצים מקומיים). הפגיעות תוקנה בסניף Rust 1.53.0.

ב-Go, הספרייה הסטנדרטית "net" מושפעת (CVE-2021-29923). הפונקציה המובנית net.ParseCIDR מדלגת על אפסים מובילים לפני מספרים אוקטליים במקום לעבד אותם. לדוגמה, תוקף יכול להעביר את הערך 00000177.0.0.1, שכאשר הוא מסומן בפונקציה net.ParseCIDR(00000177.0.0.1/24), ינותח כ-177.0.0.1/24, ולא 127.0.0.1/24. הבעיה מתבטאת גם בפלטפורמת Kubernetes. הפגיעות תוקנה בגרסה 1.16.3 של Go ובגרסת בטא 1.17.

מקור: OpenNet.ru