Oligo Security telah menerbitkan maklumat tentang kerentanan yang menjejaskan Chrome, Firefox dan Safari yang membenarkan akses kepada perkhidmatan rangkaian tempatan sahaja dipintas dengan mengakses alamat IP 0.0.0.0. Amaran pertama tentang kelemahan telah diterbitkan 18 tahun yang lalu, tetapi masalahnya masih tidak dapat diatasi.
Kelemahan yang hanya muncul dalam Linux и macOSIni disebabkan oleh fakta bahawa alamat IP 0.0.0.0 pada platform ini mengakibatkan permintaan kepada antara muka rangkaian tempatan (localhost), iaitu, menghantar permintaan kepada 0.0.0.0 adalah sama seperti permintaan kepada 127.0.0.1. Pelayar moden mempunyai ciri untuk menghalang akses kepada 127.0.0.1 apabila bekerja dengan tapak luaran, kerana ia boleh digunakan untuk memanipulasi perkhidmatan dalaman pada sistem pengguna, yang hanya boleh diakses oleh aplikasi tempatan.
Kerentanan membolehkan pengguna memintas sekatan untuk mengakses 127.0.0.1 dan melancarkan serangan ke atas perkhidmatan dalaman dengan membuka halaman luaran yang dikawal oleh penyerang dalam penyemak imbas. Apabila mengakses 0.0.0.0, mekanisme CORS (Cross-Origin Resource Sharing) dan PNA (Private Network Access) tidak dapat menghalang serangan sedemikian. Adalah diperhatikan bahawa isu itu tidak berbahaya seperti yang kelihatan dan sudah pun dieksploitasi oleh penyerang dalam serangan dunia nyata yang mengeksploitasi kelemahan kritikal dalam aplikasi pelayan yang hanya boleh diakses oleh sistem tempatan.
Sebagai contoh, penggunaan 0.0.0.0 untuk mengakses perkhidmatan tempatan telah didokumenkan dalam serangan ShadowRay dan Selenium Grid yang ditemui pada bulan Mac dan Julai, yang digunakan untuk melaksanakan kod pada sistem pembangun. Serangan ShadowRay menyasarkan sistem pembangun menggunakan rangka kerja AI Ray. Serangan kedua menyasarkan kerentanan kritikal dalam platform Selenium Grid dalam konfigurasi yang hanya menerima permintaan daripada hos tempatan.
Di samping itu, kemungkinan menggunakan kaedah tersebut untuk mengeksploitasi kerentanan ShellTorch disebut. pelayan PyTorch TorchServe, digunakan pada komputer pembangun aplikasi AI. Akses kepada perkhidmatan rangkaian localhost juga boleh digunakan untuk mengimbas port rangkaian untuk pengenalpastian pengguna secara tidak langsung.
Pembangun Firefox telah menyediakan perubahan spesifikasi untuk panggilan Ambil yang akan menyekat akses kepada 0.0.0.0, tetapi masih belum menentukan bila penyemak imbas akan mula menyekatnya. Chrome merancang untuk mula menyekat akses kepada 0.0.0.0 dalam Chrome 128, dijangka minggu depan. Safari merancang untuk melaksanakan penyekatan 0.0.0.0 dalam Safari 18.
Sumber: opennet.ru
