Säkerhetsbrist i NPM-paketet node-netmask, som används i 270 000 projekt

I NPM-paketet node-netmask, som har runt 3 miljoner nedladdningar per vecka och används som beroende av mer än 270 000 projekt på GitHub, har en sårbarhet (CVE-2021-28918) identifierats som gör det möjligt att kringgå kontroller där nätmasken används för att avgöra om den ingår i adresseringsintervall eller för filtrering. Problemet har åtgärdats i versionen node-netmask 2.0.0.

Sårbarheten gör det möjligt att behandla en extern IP-adress som en intern adress och vice versa. Dessutom, under vissa användningsförhållanden av modulen node-netmask i applikationen, kan SSRF (Server-side request forgery), RFI (Remote File Inclusion) och LFI (Local File Inclusion)-attacker utföras för att få åtkomst till resurser i det interna nätverket och för att inkludera externa eller lokala filer i exekveringskedjan. Problemet ligger i att, enligt specifikationen, ska strängvärden för adresser som börjar med noll tolkas som oktala tal, men modulen 'node-netmask' tar inte hänsyn till detta och behandlar dem som decimaltal.

Till exempel kan en angripare begära en lokal resurs genom att ange värdet '0177.0.0.1', vilket motsvarar '127.0.0.1', men modulen 'node-netmask' kommer att ignorera nollan och behandla 0177.0.0.1 som '177.0.0.1', vilket i applikationen, vid utvärdering av åtkomsträttigheter, inte ger möjlighet att fastställa identiteten med '127.0.0.1'. På liknande sätt kan en angripare ange adressen '0127.0.0.1', som borde vara likvärdig med '87.0.0.1', men i modulen 'node-netmask' kommer den att behandlas som '127.0.0.1'. På samma sätt kan kontrollen för att komma åt intranätadresser bedras genom att ange värden som '012.0.0.1' (som är ekvivalent med '10.0.0.1', men vid kontroll behandlas det som 12.0.0.1).

Forskarna som upptäckte problemet beskriver det som katastrofalt och ger flera angrepps-scenarier, men de flesta verkar vara hypotetiska. Till exempel nämns möjligheten att attackera en Node.js-applikation som gör externa anslutningar för att begära en resurs baserat på parametrar eller inkommande data, men ingen specifik applikation nämns eller detaljeras. Även om man skulle hitta applikationer som laddar resurser baserat på inmatade data IP-adresser, är det inte helt klart hur sårbarheten kan utnyttjas praktiskt utan att ansluta till det lokala nätverket eller utan att få kontroll över 'spegel'-IP-adresser.

Forskare förmodar att ägarna av 87.0.0.1 (Telecom Italia) och 0177.0.0.1 (Brasil Telecom) har möjlighet att kringgå åtkomstbegränsningar till 127.0.0.1. Ett mer realistiskt scenario är att använda sårbarheten för att kringgå olika blocklistor som implementerats på applikationssidan. Problemet kan också tillämpas för att dela definitionen av intranetranges i NPM-modulen "private-ip".

Källa: opennet.ru