დაუცველობა Rust და Go ენების ქსელურ ბიბლიოთეკებში, რომელიც საშუალებას გაძლევთ გვერდის ავლით IP მისამართის გადამოწმება

Rust და Go ენების სტანდარტულ ბიბლიოთეკებში გამოვლენილია დაუცველობა, რომელიც დაკავშირებულია IP მისამართების არასწორ დამუშავებასთან რვაციფრით მისამართების გაანალიზების ფუნქციებში. დაუცველობა შესაძლებელს ხდის აპლიკაციებში სწორი მისამართების შემოწმების გვერდის ავლით, მაგალითად, წვდომის ორგანიზებას მარყუჟის ინტერფეისის მისამართებზე (127.xxx) ან ინტრანეტის ქვექსელებზე SSRF (სერვერის მხრიდან მოთხოვნის გაყალბების) შეტევების განხორციელებისას. დაუცველობა აგრძელებს ადრე გამოვლენილი პრობლემების ციკლს ბიბლიოთეკების კვანძში-ქსელის ნიღაბი (JavaScript, CVE-2021-28918, CVE-2021-29418), private-ip (JavaScript, CVE-2020-28360), ipaddress (Python, C). 2021-29921), მონაცემთა:: Validate::IP (Perl, CVE-2021-29662) და Net::Netmask (Perl, CVE-2021-29424).

სპეციფიკაციის მიხედვით, IP მისამართის სტრიქონის მნიშვნელობები, რომლებიც იწყება ნულიდან, უნდა იყოს ინტერპრეტირებული, როგორც რვა რიცხვი, მაგრამ ბევრი ბიბლიოთეკა ამას არ ითვალისწინებს და უბრალოდ უგულებელყოფს ნულს, განიხილავს მნიშვნელობას, როგორც ათობითი რიცხვს. მაგალითად, რიცხვი 0177 ოქტალში უდრის 127-ს ათწილადში. თავდამსხმელს შეუძლია მოითხოვოს რესურსი მნიშვნელობის "0177.0.0.1" მითითებით, რომელიც ათობითი აღნიშვნით შეესაბამება "127.0.0.1". თუ პრობლემური ბიბლიოთეკა გამოიყენება, აპლიკაცია არ აღმოაჩენს, რომ მისამართი 0177.0.0.1 არის ქვექსელში 127.0.0.1/8, მაგრამ რეალურად, მოთხოვნის გაგზავნისას მას შეუძლია წვდომა მისამართზე „0177.0.0.1“, რომელიც ქსელის ფუნქციები დამუშავდება როგორც 127.0.0.1. ანალოგიურად, შეგიძლიათ მოატყუოთ ინტრანეტის მისამართებზე წვდომის შემოწმება ისეთი მნიშვნელობების მითითებით, როგორიცაა "012.0.0.1" (ექვივალენტური "10.0.0.1").

Rust-ში სტანდარტულ ბიბლიოთეკაზე „std::net“ დაზარალდა პრობლემა (CVE-2021-29922). ამ ბიბლიოთეკის IP მისამართის პარსერმა გაუქმდა ნული მისამართის მნიშვნელობებამდე, მაგრამ მხოლოდ იმ შემთხვევაში, თუ მითითებულია არაუმეტეს სამი ციფრი, მაგალითად, "0177.0.0.1" აღიქმება, როგორც არასწორი მნიშვნელობა და არასწორი შედეგი. დაბრუნდება 010.8.8.8 და 127.0.026.1 პასუხად. აპლიკაციები, რომლებიც იყენებენ std::net::IpAddr-ს მომხმარებლის მიერ მითითებული მისამართების ანალიზისას, პოტენციურად მგრძნობიარეა SSRF (სერვერის მხრიდან მოთხოვნის გაყალბება), RFI (დისტანციური ფაილის ჩართვა) და LFI (ადგილობრივი ფაილის ჩართვა) შეტევების მიმართ. დაუცველობა დაფიქსირდა Rust 1.53.0 ფილიალში.

Go-ში გავლენას ახდენს სტანდარტული ბიბლიოთეკის "net" (CVE-2021-29923). ჩაშენებული net.ParseCIDR ფუნქცია გამოტოვებს პირველ ნულებს რვა რიცხვებამდე მათი დამუშავების ნაცვლად. მაგალითად, თავდამსხმელს შეუძლია გადასცეს მნიშვნელობა 00000177.0.0.1, რომელიც net.ParseCIDR(00000177.0.0.1/24) ფუნქციის შემოწმებისას იქნება გაანალიზებული, როგორც 177.0.0.1/24, და არა 127.0.0.1/24. პრობლემა ასევე იჩენს თავს Kubernetes პლატფორმაზე. დაუცველობა ფიქსირდება Go გამოშვებაში 1.16.3 და ბეტა 1.17.

წყარო: opennet.ru