Rust and Go sareko liburutegietan aurkitutako ahultasunak IP balioztatzea eragozten du

Duela gutxi ahultasunen inguruko informazioa kaleratu zen hizkuntzen liburutegi estandarretan aurkitu zirenak Herdoila eta joan, zein diren IP helbideen manipulazio okerrarekin lotua zifra zortzidunekin helbidea aztertzeko funtzioetan.

Aipatzen da eAhultasun horiei esker baliozko helbide kontrolak etan aplikazioek, adibidez, loopback interfazeko helbideetara edo intraneteko azpisareetarako sarbidea antolatzeko zerbitzariaren aldetik eskaera faltsifikazio erasoak egiten direnean.

Bi hizkuntza horietako ahultasunak IP helbideen kateek zehaztapena dute zero oinarrituta, zaudenez teorian zenbaki zortzitar gisa interpretatu beharko lirateke, baina arazoa sortzearen arazoa da liburutegi askok ez dutela hori kontuan hartzen eta zeroa baztertzen dutela, beraz azkenean balioa zenbaki hamartar gisa tratatzen dute.

Adibidez, akats horietan IP helbideak nola interpretatzen diren ulertzeko, 0177 zenbakia zortziduna 127 da hamartarra eta horrekin erasotzaile batek "0177.0.0.1" balioa zehazten duen baliabidea eska dezake, hau da, hartzen ez denez zortzikote gisa, honen idazkera hamartarra "127.0.0.1" da.

Hori dela eta liburutegi problematikoren bat erabiltzearen kasuan, aplikazioak ez du helbidearen agerraldia hautemango 0177.0.0.1 127.0.0.1 azpisarean, baina, hain zuzen ere, eskaera bidaltzerakoan "0177.0.0.1" helbidea deitu daiteke, interpretazio okerra dela eta, sareko funtzioek 127.0.0.1 gisa prozesatuko dutela. Era berean, intranet helbideetarako sarbidea engainatu eta egiaztatu daiteke hainbat balio zehaztuz, erasotzaileak balia ditzakeen ustiapenerako.

Alboan Herdoila, arazoa "std :: net" liburutegi estandarraren menpean aurkitu da. eta dagoeneko "CVE-2021-29922" atalean katalogatuta dagoena. Hori deskribatzen du liburutegi honetako IP helbideen analizatzaileak zero bat baztertzen du balioen aurrean helbidearen, baina hiru digitu baino gehiago zehazten ez badira, adibidez, "0177.0.0.1" balio baliogabe gisa interpretatuko da eta erantzun oker bat itzuliko da erantzun gisa.

Herdoil-lang estandar "net" liburutegian okerreko kate zortzidunen sarrera balioztatzeak autentifikatu gabeko urrutiko erasotzaileek zehaztu gabeko SSRF, RFI eta LFI erasoak egitea ahalbidetzen dute rust-lang std :: net-en mende dauden programa askotan. IP helbidearen zortzikoteak biluzten dira baliozko IP helbide gisa ebaluatu beharrean.

Halaber, std :: net :: IpAddr liburutegia erabiltzen duten aplikazioak aipatzen dira zehaztutako helbideak analizatzean erabiltzaileak balizko SSRF erasoak jasan ditzakete (zerbitzariaren eskaera faltsifikatzea), RFI (urruneko fitxategia sartzea) eta LFI (fitxategi lokalak sartzea). Era berean, erasotzaile batek 127.0.026.1 sar dezake, hau da, 127.0.22

Adibidez, std :: net :: IpAddr-en oinarritutako web aplikazio batera IP helbidea bidaltzen duen erasotzaile batek SSRF sor dezake zortzidun sarrera datuak sartuz; Erasotzaile batek IP helbide esplotagarriak bidal ditzake zortzikoteak 3 digitu baldin baditu, gutxieneko ustiatzeko 08 zortzikoteak zerbitzua ukatzea dakar eta 099 gehieneko zortzikotea ustiatzea eta horrek zerbitzua ukatzea ere ekartzen du. 

Ahultasun honi buruz gehiago jakin nahi baduzu Rust-en, xehetasunak kontsultatu ditzakezu Hurrengo estekan. Era berean, aipatzen da ahultasuna Rust 1.53.0 adarrean konpondu zela.

Bezain laster eragiten duen arazoari Go to, aipatzen da liburutegi estandarraren menpe dagoela «net». eta dagoeneko zerrendatuta dago CVE-2021-29923. Deskribapenean hori aipatzen da autentifikatu gabeko urrutiko erasotzaileei SSRF, RFI eta LFI erasoak egiteko aukera ematen die zehaztugabea golang-en sare integratuaren menpe dauden programa askotan.ParseCIDR funtzioa. CIDR IP zortzidun indibidualak kentzen dira baliozko IP zortzidun gisa ebaluatu beharrean.

Adibidez, erasotzaile batek 00000177.0.0.1 balioa pasa dezake, hau da, sarean egiaztatuta dagoenean. Arazoa Kubernetes plataforman ere agertzen da. Ahultasuna Go 177.0.0.1 bertsioan eta beta bertsioan 24 bertsioan konpondu zen.

Horri buruz gehiago jakin dezakezu ahultasun horri buruz Hurrengo estekan.


Artikuluaren edukia gure printzipioekin bat dator etika editoriala. Akats baten berri emateko egin klik hemen.

Idatzi lehenengo iruzkina

Utzi zure iruzkina

Zure helbide elektronikoa ez da argitaratuko. Beharrezko eremuak markatuta daude *

*

*

  1. Datuen arduraduna: Miguel Ángel Gatón
  2. Datuen xedea: SPAM kontrolatzea, iruzkinen kudeaketa.
  3. Legitimazioa: Zure baimena
  4. Datuen komunikazioa: datuak ez zaizkie hirugarrenei jakinaraziko legezko betebeharrez izan ezik.
  5. Datuak biltegiratzea: Occentus Networks-ek (EB) ostatatutako datu-basea
  6. Eskubideak: Edonoiz zure informazioa mugatu, berreskuratu eta ezabatu dezakezu.