ຊ່ອງໂຫວ່ຢູ່ໃນຫ້ອງສະຫມຸດເຄືອຂ່າຍຂອງພາສາ Rust ແລະ Go ທີ່ອະນຸຍາດໃຫ້ທ່ານຂ້າມຜ່ານການກວດສອບທີ່ຢູ່ IP.

ຊ່ອງໂຫວ່ທີ່ກ່ຽວຂ້ອງກັບການປະມວນຜົນທີ່ບໍ່ຖືກຕ້ອງຂອງທີ່ຢູ່ IP ທີ່ມີຕົວເລກ octal ໃນຟັງຊັນການວິເຄາະທີ່ຢູ່ໄດ້ຖືກລະບຸໄວ້ໃນຫ້ອງສະຫມຸດມາດຕະຖານຂອງພາສາ Rust ແລະ Go. ຊ່ອງໂຫວ່ເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະຂ້າມການກວດສອບທີ່ຢູ່ທີ່ຖືກຕ້ອງໃນແອັບພລິເຄຊັນ, ຕົວຢ່າງ, ການຈັດລະບຽບການເຂົ້າເຖິງ loopback interface addresses (127.xxx) ຫຼື intranet subnets ເມື່ອປະຕິບັດການໂຈມຕີ SSRF (Server-side request forgery). ຊ່ອງໂຫວ່ສືບຕໍ່ວົງຈອນຂອງບັນຫາທີ່ໄດ້ລະບຸໄວ້ກ່ອນໜ້ານີ້ຢູ່ໃນຫ້ອງສະໝຸດ node-netmask (JavaScript, CVE-2021-28918, CVE-2021-29418), private-ip (JavaScript, CVE-2020-28360), ipaddress (Python, CVE- 2021-29921 ), ຂໍ້ມູນ::Validate::IP (Perl, CVE-2021-29662) ແລະ Net::Netmask (Perl, CVE-2021-29424).

ອີງຕາມຂໍ້ມູນສະເພາະ, ຄ່າສະຕຣິງທີ່ຢູ່ IP ເລີ່ມຕົ້ນດ້ວຍສູນຄວນຈະຖືກຕີຄວາມໝາຍເປັນເລກຖານແປດ, ແຕ່ຫ້ອງສະໝຸດຈໍານວນຫຼາຍບໍ່ໄດ້ພິຈາລະນາເລື່ອງນີ້ ແລະພຽງແຕ່ຍົກເລີກຄ່າສູນ, ຖືວ່າຄ່າເປັນຕົວເລກທົດສະນິຍົມ. ຕົວຢ່າງ, ຕົວເລກ 0177 ໃນເລກແປດເທົ່າກັບ 127 ໃນອັດຕານິຍົມ. ຜູ້ໂຈມຕີສາມາດຮ້ອງຂໍຊັບພະຍາກອນໂດຍການລະບຸຄ່າ "0177.0.0.1", ເຊິ່ງໃນຕົວເລກທົດສະນິຍົມເທົ່າກັບ "127.0.0.1". ຖ້າຫ້ອງສະຫມຸດທີ່ມີບັນຫາຖືກໃຊ້, ແອັບພລິເຄຊັນຈະບໍ່ກວດພົບວ່າທີ່ຢູ່ 0177.0.0.1 ຢູ່ໃນເຄືອຂ່າຍຍ່ອຍ 127.0.0.1/8, ແຕ່ຄວາມຈິງແລ້ວ, ເມື່ອສົ່ງຄໍາຮ້ອງຂໍ, ມັນສາມາດເຂົ້າເຖິງທີ່ຢູ່ "0177.0.0.1", ເຊິ່ງ. ຟັງຊັນເຄືອຂ່າຍຈະປະມວນຜົນເປັນ 127.0.0.1. ໃນລັກສະນະທີ່ຄ້າຍຄືກັນ, ທ່ານສາມາດຫລອກລວງການກວດສອບການເຂົ້າເຖິງທີ່ຢູ່ intranet ໂດຍການລະບຸຄ່າເຊັ່ນ "012.0.0.1" (ເທົ່າກັບ "10.0.0.1").

ໃນ Rust, ຫ້ອງສະຫມຸດມາດຕະຖານ "std::net" ໄດ້ຮັບຜົນກະທົບຈາກບັນຫາ (CVE-2021-29922). ຕົວວິເຄາະທີ່ຢູ່ IP ຂອງຫ້ອງສະໝຸດນີ້ຍົກເລີກຄ່າສູນກ່ອນຄ່າທີ່ຢູ່ໃນທີ່ຢູ່, ແຕ່ຖ້າບໍ່ເກີນສາມຕົວເລກຖືກລະບຸ, ຕົວຢ່າງ, "0177.0.0.1" ຈະຖືກຮັບຮູ້ວ່າເປັນຄ່າທີ່ບໍ່ຖືກຕ້ອງ, ແລະຜົນໄດ້ຮັບທີ່ບໍ່ຖືກຕ້ອງ. ຈະຖືກສົ່ງຄືນຕາມ 010.8.8.8 ແລະ 127.0.026.1 . ແອັບພລິເຄຊັນທີ່ໃຊ້ std::net::IpAddr ເມື່ອວິເຄາະທີ່ຢູ່ທີ່ລະບຸໂດຍຜູ້ໃຊ້ອາດມີຄວາມອ່ອນໄຫວຕໍ່ກັບການໂຈມຕີຂອງ SSRF (Server-side request forgery), RFI (Remote File Inclusion) ແລະ LFI (Local File Inclusion). ຊ່ອງໂຫວ່ໄດ້ຖືກແກ້ໄຂໃນສາຂາ Rust 1.53.0.

ໃນ Go, ຫ້ອງສະຫມຸດມາດຕະຖານ "net" ໄດ້ຮັບຜົນກະທົບ (CVE-2021-29923). ຟັງຊັນໃນຕົວ net.ParseCIDR ຂ້າມສູນນຳໜ້າກ່ອນຕົວເລກຖານແປດແທນການປະມວນຜົນພວກມັນ. ຕົວຢ່າງ, ຜູ້ໂຈມຕີສາມາດຜ່ານຄ່າ 00000177.0.0.1, ເຊິ່ງເມື່ອກວດເບິ່ງໃນຟັງຊັນ net.ParseCIDR(00000177.0.0.1/24), ຈະຖືກວິເຄາະເປັນ 177.0.0.1/24, ແລະບໍ່ແມ່ນ 127.0.0.1/24. ບັນຫາຍັງສະແດງອອກໃນເວທີ Kubernetes. ຊ່ອງໂຫວ່ໄດ້ຖືກແກ້ໄຂໃນ Go release 1.16.3 ແລະ beta 1.17.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru