ರಸ್ಟ್ ಮತ್ತು ಗೋ ಭಾಷೆಗಳ ಪ್ರಮಾಣಿತ ಲೈಬ್ರರಿಗಳಲ್ಲಿ ವಿಳಾಸ ಪಾರ್ಸಿಂಗ್ ಕಾರ್ಯಗಳಲ್ಲಿ ಆಕ್ಟಲ್ ಅಂಕಿಗಳೊಂದಿಗಿನ IP ವಿಳಾಸಗಳ ತಪ್ಪಾದ ಪ್ರಕ್ರಿಯೆಗೆ ಸಂಬಂಧಿಸಿದ ದೋಷಗಳನ್ನು ಗುರುತಿಸಲಾಗಿದೆ. ದೋಷಗಳು ಅಪ್ಲಿಕೇಶನ್‌ಗಳಲ್ಲಿ ಮಾನ್ಯವಾದ ವಿಳಾಸಗಳಿಗಾಗಿ ಚೆಕ್‌ಗಳನ್ನು ಬೈಪಾಸ್ ಮಾಡಲು ಸಾಧ್ಯವಾಗುವಂತೆ ಮಾಡುತ್ತದೆ, ಉದಾಹರಣೆಗೆ, SSRF (ಸರ್ವರ್-ಸೈಡ್ ವಿನಂತಿ ಫೋರ್ಜರಿ) ದಾಳಿಗಳನ್ನು ನಡೆಸುವಾಗ ಲೂಪ್‌ಬ್ಯಾಕ್ ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸಗಳಿಗೆ (127.xxx) ಅಥವಾ ಇಂಟ್ರಾನೆಟ್ ಸಬ್‌ನೆಟ್‌ಗಳಿಗೆ ಪ್ರವೇಶವನ್ನು ಸಂಘಟಿಸಲು. ದುರ್ಬಲತೆಗಳು ಈ ಹಿಂದೆ ಲೈಬ್ರರಿಗಳಲ್ಲಿ ಗುರುತಿಸಲಾದ ಸಮಸ್ಯೆಗಳ ಚಕ್ರವನ್ನು ಮುಂದುವರಿಸುತ್ತವೆ ನೋಡ್-ನೆಟ್‌ಮಾಸ್ಕ್ (ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್, ಸಿವಿಇ-2021-28918, ಸಿವಿಇ-2021-29418), ಖಾಸಗಿ-ಐಪಿ (ಜಾವಾಸ್ಕ್ರಿಪ್ಟ್, ಸಿವಿಇ-2020-28360), ಐಪ್ಯಾಡ್‌ಡ್ರೆಸ್ (ಪೈಥಾನ್, ಸಿವಿಇ- 2021-29921 ), ಡೇಟಾ:: ವ್ಯಾಲಿಡೇಟ್:: ಐಪಿ (ಪರ್ಲ್, ಸಿವಿಇ-2021-29662) ಮತ್ತು ನೆಟ್:: ನೆಟ್‌ಮಾಸ್ಕ್ (ಪರ್ಲ್, ಸಿವಿಇ-2021-29424).
ನಿರ್ದಿಷ್ಟತೆಯ ಪ್ರಕಾರ, ಶೂನ್ಯದಿಂದ ಪ್ರಾರಂಭವಾಗುವ ಐಪಿ ವಿಳಾಸದ ಸ್ಟ್ರಿಂಗ್ ಮೌಲ್ಯಗಳನ್ನು ಆಕ್ಟಲ್ ಸಂಖ್ಯೆಗಳಾಗಿ ಅರ್ಥೈಸಿಕೊಳ್ಳಬೇಕು, ಆದರೆ ಅನೇಕ ಗ್ರಂಥಾಲಯಗಳು ಇದನ್ನು ಗಣನೆಗೆ ತೆಗೆದುಕೊಳ್ಳುವುದಿಲ್ಲ ಮತ್ತು ಶೂನ್ಯವನ್ನು ಸರಳವಾಗಿ ತಿರಸ್ಕರಿಸುತ್ತವೆ, ಮೌಲ್ಯವನ್ನು ದಶಮಾಂಶ ಸಂಖ್ಯೆಯಾಗಿ ಪರಿಗಣಿಸುತ್ತವೆ. ಉದಾಹರಣೆಗೆ, ಆಕ್ಟಲ್‌ನಲ್ಲಿರುವ 0177 ಸಂಖ್ಯೆಯು ದಶಮಾಂಶದಲ್ಲಿ 127 ಕ್ಕೆ ಸಮಾನವಾಗಿರುತ್ತದೆ. ಆಕ್ರಮಣಕಾರರು "0177.0.0.1" ಮೌಲ್ಯವನ್ನು ಸೂಚಿಸುವ ಮೂಲಕ ಸಂಪನ್ಮೂಲವನ್ನು ವಿನಂತಿಸಬಹುದು, ಇದು ದಶಮಾಂಶ ಸಂಕೇತದಲ್ಲಿ "127.0.0.1" ಗೆ ಅನುರೂಪವಾಗಿದೆ. ಸಮಸ್ಯಾತ್ಮಕ ಲೈಬ್ರರಿಯನ್ನು ಬಳಸಿದರೆ, 0177.0.0.1 ವಿಳಾಸವು ಸಬ್‌ನೆಟ್ 127.0.0.1/8 ನಲ್ಲಿದೆ ಎಂದು ಅಪ್ಲಿಕೇಶನ್ ಪತ್ತೆಹಚ್ಚುವುದಿಲ್ಲ, ಆದರೆ ವಾಸ್ತವವಾಗಿ, ವಿನಂತಿಯನ್ನು ಕಳುಹಿಸುವಾಗ, ಅದು “0177.0.0.1” ವಿಳಾಸವನ್ನು ಪ್ರವೇಶಿಸಬಹುದು. ನೆಟ್ವರ್ಕ್ ಕಾರ್ಯಗಳನ್ನು 127.0.0.1 ನಂತೆ ಪ್ರಕ್ರಿಯೆಗೊಳಿಸಲಾಗುತ್ತದೆ. ಅದೇ ರೀತಿಯಲ್ಲಿ, "012.0.0.1" ("10.0.0.1" ಗೆ ಸಮನಾಗಿರುತ್ತದೆ) ನಂತಹ ಮೌಲ್ಯಗಳನ್ನು ನಿರ್ದಿಷ್ಟಪಡಿಸುವ ಮೂಲಕ ನೀವು ಇಂಟ್ರಾನೆಟ್ ವಿಳಾಸಗಳ ಪ್ರವೇಶದ ಚೆಕ್ ಅನ್ನು ಮೋಸಗೊಳಿಸಬಹುದು.
ರಸ್ಟ್‌ನಲ್ಲಿ, ಪ್ರಮಾಣಿತ ಲೈಬ್ರರಿ "std::net" ಸಮಸ್ಯೆಯಿಂದ ಪ್ರಭಾವಿತವಾಗಿದೆ (CVE-2021-29922). ಈ ಲೈಬ್ರರಿಯ IP ವಿಳಾಸ ಪಾರ್ಸರ್ ವಿಳಾಸದಲ್ಲಿನ ಮೌಲ್ಯಗಳ ಮೊದಲು ಶೂನ್ಯವನ್ನು ತ್ಯಜಿಸಿದೆ, ಆದರೆ ಮೂರು ಅಂಕೆಗಳಿಗಿಂತ ಹೆಚ್ಚಿನದನ್ನು ನಿರ್ದಿಷ್ಟಪಡಿಸದಿದ್ದರೆ ಮಾತ್ರ, ಉದಾಹರಣೆಗೆ, "0177.0.0.1" ಅನ್ನು ಅಮಾನ್ಯ ಮೌಲ್ಯವೆಂದು ಗ್ರಹಿಸಲಾಗುತ್ತದೆ ಮತ್ತು ತಪ್ಪಾದ ಫಲಿತಾಂಶ 010.8.8.8 ಮತ್ತು 127.0.026.1 ಗೆ ಪ್ರತಿಕ್ರಿಯೆಯಾಗಿ ಹಿಂತಿರುಗಿಸಲಾಗುತ್ತದೆ. ಬಳಕೆದಾರ-ನಿರ್ದಿಷ್ಟಪಡಿಸಿದ ವಿಳಾಸಗಳನ್ನು ಪಾರ್ಸ್ ಮಾಡುವಾಗ std::net::IpAddr ಅನ್ನು ಬಳಸುವ ಅಪ್ಲಿಕೇಶನ್‌ಗಳು SSRF (ಸರ್ವರ್-ಸೈಡ್ ವಿನಂತಿ ಫೋರ್ಜರಿ), RFI (ರಿಮೋಟ್ ಫೈಲ್ ಸೇರ್ಪಡೆ) ಮತ್ತು LFI (ಸ್ಥಳೀಯ ಫೈಲ್ ಸೇರ್ಪಡೆ) ದಾಳಿಗಳಿಗೆ ಸಂಭಾವ್ಯವಾಗಿ ಒಳಗಾಗುತ್ತವೆ. ರಸ್ಟ್ 1.53.0 ಶಾಖೆಯಲ್ಲಿ ದುರ್ಬಲತೆಯನ್ನು ನಿವಾರಿಸಲಾಗಿದೆ.
Go ನಲ್ಲಿ, ಪ್ರಮಾಣಿತ ಲೈಬ್ರರಿ "ನೆಟ್" ಪರಿಣಾಮ ಬೀರುತ್ತದೆ (CVE-2021-29923). net.ParseCIDR ಅಂತರ್ನಿರ್ಮಿತ ಕಾರ್ಯವು ಅವುಗಳನ್ನು ಸಂಸ್ಕರಿಸುವ ಬದಲು ಆಕ್ಟಲ್ ಸಂಖ್ಯೆಗಳ ಮೊದಲು ಪ್ರಮುಖ ಸೊನ್ನೆಗಳನ್ನು ಬಿಟ್ಟುಬಿಡುತ್ತದೆ. ಉದಾಹರಣೆಗೆ, ಆಕ್ರಮಣಕಾರರು 00000177.0.0.1 ಮೌಲ್ಯವನ್ನು ರವಾನಿಸಬಹುದು, ಇದನ್ನು net.ParseCIDR(00000177.0.0.1/24) ಕಾರ್ಯದಲ್ಲಿ ಪರಿಶೀಲಿಸಿದಾಗ, 177.0.0.1/24 ಎಂದು ಪಾರ್ಸ್ ಮಾಡಲಾಗುತ್ತದೆ, ಮತ್ತು 127.0.0.1/24. ಸಮಸ್ಯೆಯು ಕುಬರ್ನೆಟ್ಸ್ ಪ್ಲಾಟ್‌ಫಾರ್ಮ್‌ನಲ್ಲಿಯೂ ಪ್ರಕಟವಾಗುತ್ತದೆ. ಗೋ ಬಿಡುಗಡೆ 1.16.3 ಮತ್ತು ಬೀಟಾ 1.17 ರಲ್ಲಿ ದುರ್ಬಲತೆಯನ್ನು ನಿವಾರಿಸಲಾಗಿದೆ.
ಮೂಲ: opennet.ru