Рањивост Нгинк конфигурације са нетачним поставкама блока псеудонима

Неки сервери са нгинк-ом остају рањиви на технику Нгинк Алиас Траверсал, која је предложена на Блацкхат конференцији још 2018. године и омогућава приступ датотекама и директоријумима који се налазе изван основног директоријума наведеног у директиви „алиас“. Проблем се јавља само у конфигурацијама са директивом „алиас“ која се налази унутар блока „лоцатион“, чији се параметар не завршава знаком „/“, док се „алиас“ завршава са „/“.

Суштина проблема је у томе што се фајлови за блокове са алиас директивом дају тако што се прилаже тражена путања, након што се она усклади са маском из директиве локације и исече део путање који је наведен у овој маски. За пример рањиве конфигурације приказан изнад, нападач може затражити датотеку „/имг../тест.ткт“ и овај захтев ће одговарати маски наведеној на локацији „/имг“, након чега ће преостали реп „../ тест.ткт" ће бити приложен уз путању из алиас директиве "/вар/имагес/" и као резултат ће бити затражен фајл "/вар/имагес/../тест.ткт". Дакле, нападачи могу приступити свим датотекама у директоријуму „/вар“, а не само датотекама у „/вар/имагес/“, на пример, да бисте преузели нгинк дневник, можете послати захтев „/имг../лог/ нгинк/ аццесс.лог“.

У конфигурацијама у којима се вредност алиас директиве не завршава знаком "/" (на пример, "алиас /вар/имагес;"), нападач не може да пређе у надређени директоријум, али може да захтева други директоријум у /вар. чије име почиње са наведеним у конфигурацији. На пример, захтевом за „/имг.олд/тест.ткт“ можете приступити директоријуму „вар/имагес.олд/тест.ткт“.

Анализа репозиторија на ГитХуб-у показала је да се грешке у нгинк конфигурацији које доводе до проблема и даље налазе у стварним пројектима. На пример, присуство проблема је откривено у позадини Битварден менаџера лозинки и може се користити за приступ свим датотекама у директоријуму /етц/битварден (захтеви за /аттацхментс су издати са /етц/битварден/аттацхментс/), укључујући ту ускладиштену базу података са лозинкама „ваулт. дб“, сертификатом и евиденцијама, за које је било довољно послати захтеве „/аттацхментс../ваулт.дб“, „/аттацхментс../идентити.пфк“, „/аттацхментс ../логс/апи.лог", итд. .П.

Метод је такође функционисао са Гоогле ХПЦ Тоолкит-ом, где су /статички захтеви преусмерени на директоријум „../хпц-тоолкит/цоммунити/фронт-енд/вебсите/статиц/“. Да би добио базу података са приватним кључем и акредитивима, нападач би могао да пошаље упите „/статиц../.сецрет_кеи“ и „/статиц../дб.склите3“.

Извор: опеннет.ру