270 हजार प्रकल्पांमध्ये वापरलेले नोड-नेटमास्क NPM पॅकेजमधील भेद्यता

नोड-नेटमास्क NPM पॅकेज, ज्यामध्ये दर आठवड्याला सुमारे 3 दशलक्ष डाउनलोड होतात आणि GitHub वरील 270 हजाराहून अधिक प्रकल्पांवर अवलंबित्व म्हणून वापरले जाते, त्यात एक भेद्यता (CVE-2021-28918) आहे जी नेटमास्क वापरणार्‍या तपासण्यांना बायपास करण्यास अनुमती देते. अॅड्रेस रेंज किंवा फिल्टरिंगसाठी घटना निश्चित करण्यासाठी. नोड-नेटमास्क 2.0.0 च्या रिलीझमध्ये समस्या निश्चित केली आहे.

भेद्यतेमुळे बाह्य IP पत्त्याला अंतर्गत नेटवर्कमधील पत्ता मानणे शक्य होते आणि त्याउलट, आणि SSRF (सर्व्हर-साइड रिक्वेस्ट फोर्जरी), RFI पार पाडण्यासाठी ऍप्लिकेशनमधील नोड-नेटमास्क मॉड्यूल वापरण्याच्या विशिष्ट तर्काने. (रिमोट फाइल समावेश) आणि LFI (स्थानिक फाइल समावेश) हल्ला ) अंतर्गत नेटवर्कवरील संसाधनांमध्ये प्रवेश करण्यासाठी आणि अंमलबजावणी साखळीमध्ये बाह्य किंवा स्थानिक फाइल्स समाविष्ट करण्यासाठी. अडचण अशी आहे की स्पेसिफिकेशननुसार, शून्यापासून सुरू होणार्‍या अॅड्रेस स्ट्रिंग व्हॅल्यूजचा अर्थ ऑक्टल नंबर्स म्हणून केला पाहिजे, परंतु नोड-नेटमास्क मॉड्यूल हे विचारात घेत नाही आणि त्यांना दशांश संख्या मानते.

उदाहरणार्थ, आक्रमणकर्ता "0177.0.0.1" मूल्य निर्दिष्ट करून स्थानिक संसाधनाची विनंती करू शकतो, जे "127.0.0.1" शी संबंधित आहे, परंतु "नोड-नेटमास्क" मॉड्यूल नल टाकून देईल आणि 0177.0.0.1″ ला "म्हणून हाताळेल. 177.0.0.1", जे ऍप्लिकेशनमध्ये प्रवेश नियमांचे मूल्यांकन करताना, "127.0.0.1" सह ओळख निश्चित करणे शक्य होणार नाही. त्याचप्रमाणे, आक्रमणकर्ता "0127.0.0.1" पत्ता निर्दिष्ट करू शकतो, जो "87.0.0.1" सारखा असावा, परंतु "नोड-नेटमास्क" मॉड्यूलमध्ये "127.0.0.1" म्हणून हाताळला जाईल. त्याचप्रमाणे, तुम्ही "012.0.0.1" ("10.0.0.1" च्या समतुल्य, परंतु चेक दरम्यान 12.0.0.1 म्हणून प्रक्रिया केली जाईल) सारखी मूल्ये निर्दिष्ट करून इंट्रानेट पत्त्यांच्या प्रवेशासाठी चेकची फसवणूक करू शकता.

ज्या संशोधकांनी समस्या ओळखली त्यांनी समस्येला आपत्तीजनक म्हटले आणि अनेक आक्रमण परिस्थिती प्रदान केली, परंतु त्यापैकी बहुतेक सट्टा दिसते. उदाहरणार्थ, इनपुट विनंतीच्या पॅरामीटर्स किंवा डेटावर आधारित संसाधनाची विनंती करण्यासाठी बाह्य कनेक्शन स्थापित करणार्‍या Node.js-आधारित अनुप्रयोगावर हल्ला करण्याच्या शक्यतेबद्दल ते बोलते, परंतु अनुप्रयोगाचे नाव किंवा तपशीलवार वर्णन केलेले नाही. जरी तुम्हाला एंटर केलेल्या IP पत्त्यांच्या आधारे संसाधने लोड करणारे अनुप्रयोग आढळले तरीही, स्थानिक नेटवर्कशी कनेक्ट केल्याशिवाय किंवा "मिरर" IP पत्त्यांवर नियंत्रण न मिळवता व्यवहारात असुरक्षिततेचा कसा उपयोग केला जाऊ शकतो हे पूर्णपणे स्पष्ट नाही.

संशोधकांनी फक्त असे गृहीत धरले आहे की 87.0.0.1 (टेलिकॉम इटालिया) आणि 0177.0.0.1 (ब्रासिल टेलिकॉम) चे मालक 127.0.0.1 वर प्रवेश प्रतिबंध बायपास करण्यास सक्षम आहेत. अधिक वास्तववादी परिस्थिती म्हणजे विविध ऍप्लिकेशन-साइड ब्लॉक लिस्ट बायपास करण्याच्या असुरक्षिततेचा फायदा घेणे. NPM मॉड्यूल "private-ip" मध्ये इंट्रानेट रेंजची व्याख्या शेअर करण्यासाठी देखील ही समस्या लागू केली जाऊ शकते.

स्त्रोत: opennet.ru