Sårbarhet i HTTP-servern muhttpd, som öppnar tillgång till filer utanför arbetskatalogen

I HTTP-server muhttpd, som främst används i routrar och accesspunkter, har en sårbarhet (CVE-2022-31793) upptäckts som gör det möjligt för en icke-autentiserad angripare att ladda upp godtyckliga filer genom att skicka en speciellt utformad HTTP-förfrågan, i den mån de behörigheter som HTTP-servern körs under tillåter detta (i många enheter körs muhttpd med root-rättigheter). Till exempel kan en angripare få tillgång till filer med lösenord, inställningar för trådlös åtkomst, leverantörens anslutningsparametrar och privata nycklar.

Problemet orsakas av ett fel i hanteringen av sökvägen i förfrågan, vilket gör det möjligt att få tillgång till filer utanför rotkatalogen för webservern. Attacken går ut på att ange vilket som helst extra tecken i början av sökvägen som inte är en punkt, snedstreck eller fråga. Till exempel, för att ladda upp filen /etc/hosts räcker det att skicka förfrågan "GET a/etc/hosts" eller "GET a/etc/hosts" (printf "GET b/etc/hosts\n\n" | nc server port).

Anledningen till det angivna beteendet är att öppningen av den begärda filen görs med kommandot "open(&req->filename[1], O_RDONLY)" efter att funktionen chdir() har körts för att växla till rotkatalogen. Att ange &req->filename[1] leder till att det första tecknet i sökvägen ignoreras (utvecklarna antog att det första tecknet alltid är "/"). Således, vid begäran "GET /etc/hosts" kommer servern att försöka öppna filen genom den relativa sökvägen "etc/hosts", men om man anger vilket som helst extra tecken i början ("GET a/etc/hosts") — kommer den efterföljande sökvägen att hanteras helt. webbserver.Problemet finns från den allra första versionen av muhttpd och har åtgärdats i version 1.1.7. Från enheter som använder muhttpd har problemet bekräftats i routrar från SaskTel och Arris. Potentiellt kan problemet också förekomma i enheter som tillverkas av AT&T, Frontier och Windstream. Vid begränsning av åtkomst till HTTP-porten enbart för det interna nätverket kan attacken utföras från det externa nätverket med hjälp av tekniken "DNS rebinding", vilket gör det möjligt att när en användare öppnar en viss sida i webbläsaren, skicka en HTTP-förfrågan till ett nätverksport som inte är tillgängligt för direkt åtkomst via internet.

Problemet kvarstår i alla versioner av muhttpd fram till version 1.1.7. En bekräftelse på förekomsten av problemet finns i routrar från SaskTel och Arris. Även enheter tillverkade av AT&T, Frontier och Windstream kan potentiellt påverkas. Om åtkomsten till HTTP-porten begränsas till det interna nätverket, kan attacken utföras från det externa nätverket med hjälp av tekniken "DNS rebinding", vilket gör det möjligt för en användare att öppna en viss webbsida och därigenom initiera en HTTP-förfrågan till en nätverksport som inte är tillgänglig direkt via internet.

Källa: opennet.ru