Ранливост во мрежните библиотеки на јазиците Rust и Go што ви овозможува да ја заобиколите проверката на IP адресата

Ранливост поврзани со неправилна обработка на IP адреси со октални цифри во функциите за парсирање на адреси се идентификувани во стандардните библиотеки на јазиците Rust и Go. Ранливостите овозможуваат да се заобиколат проверките за валидни адреси во апликациите, на пример, да се организира пристап до адресите на интерфејсот со повратна врска (127.xxx) или до подмрежите на интранет кога се изведуваат напади од SSRF (фалсификување на барања од серверот). Ранливостите го продолжуваат циклусот на проблеми претходно идентификувани во јазол-мрежна маска на библиотеките (JavaScript, CVE-2021-28918, CVE-2021-29418), private-ip (JavaScript, CVE-2020-28360), ipaddress (Python, CV, 2021-29921 ), Податоци::Потврди::IP (Perl, CVE-2021-29662) и Net::Netmask (Perl, CVE-2021-29424).

Според спецификацијата, вредностите на низата на IP адресата кои започнуваат со нула треба да се толкуваат како октални броеви, но многу библиотеки не го земаат тоа предвид и едноставно ја отфрлаат нулата, третирајќи ја вредноста како децимален број. На пример, бројот 0177 во октал е еднаков на 127 во децимални. Напаѓачот може да побара ресурс со наведување на вредноста „0177.0.0.1“, која во децимална нотација одговара на „127.0.0.1“. Доколку се користи проблематичната библиотека, апликацијата нема да открие дека адресата 0177.0.0.1 е во подмрежата 127.0.0.1/8, но всушност, при испраќање барање, може да пристапи до адресата „0177.0.0.1“, која мрежните функции ќе се обработуваат како 127.0.0.1. На сличен начин, можете да ја измамите проверката за пристап до интранет адреси со наведување вредности како „012.0.0.1“ (еквивалентно на „10.0.0.1“).

Во Rust, стандардната библиотека „std::net“ беше погодена од проблем (CVE-2021-29922). Парсерот на IP адресата на оваа библиотека отфрли нула пред вредностите во адресата, но само ако не се наведат повеќе од три цифри, на пример, „0177.0.0.1“ ќе се сфати како неважечка вредност и неточен резултат ќе бидат вратени како одговор на 010.8.8.8 и 127.0.026.1. Апликациите кои користат std::net::IpAddr при парсирање на адреси наведени од корисникот се потенцијално подложни на нападите SSRF (фалсификување на барање од страна на серверот), RFI (далечинско вклучување датотека) и LFI (вклучување локална датотека). Ранливоста беше поправена во гранката Rust 1.53.0.

Во Go, стандардната библиотека „мрежа“ е засегната (CVE-2021-29923). Вградената функција net.ParseCIDR ги прескокнува водечките нули пред окталните броеви наместо да ги обработува. На пример, напаѓачот може да ја пренесе вредноста 00000177.0.0.1, која кога ќе се провери во функцијата net.ParseCIDR(00000177.0.0.1/24), ќе се анализира како 177.0.0.1/24, а не како 127.0.0.1/24. Проблемот се манифестира и во платформата Кубернетес. Ранливоста е поправена во Go издание 1.16.3 и бета 1.17.

Извор: opennet.ru