Ua maua vaivaiga i le Rust ma Go network faletusi puipuia IP faamaoniga

Talu ai nei faʻamatalaga e uiga i vaivaiga sa faʻamaloloina na maua i faletusi masani o gagana Ele ma alu, o fea ia fesoʻotaʻi ma le faʻaletonu o tuatusi IP ma numera o le octal i tuatusi auiliiliga galuega tauave.

Ua taʻua mai uO nei vaivaiga faʻatagaina oe e aloese ai mai le saʻo tuatusi siaki man tusi faʻataʻitaʻiga, mo se faʻataʻitaʻiga, e faʻavasega avanoa i loopback interface tuatusi poʻo subanet intranet pe a faia le server-itu talosaga spoofing osofaʻiga.

O le vaivai i nei gagana e lua O tuatusi IP tuatusi ua latou iloaina i le faʻamatalaga leai se faʻavae, talu ai o oe o i talitonuga e tatau ona faauigaina i latou o numera o le octal, ae o le faʻafitauli e mafua ai nei faʻasoesa o le tele o faletusi e le amanaʻia lenei mea ma na ona tiaʻi le leai, faʻapea latou iʻu i le togafitia o le tau o se numera numera.

Mo se faʻataʻitaʻiga, ina ia malamalama pe faʻafefea ona faʻamatalaina tuatusi IP i nei bug, o le numera 0177 i le octal o le 127 i le decimal ma e mafai ai e se tagata osofaʻi ona talosagaina se punaoa faʻamaoti mai le tau "0177.0.0.1", lea, talu ai e le i aveina o le octal, o le faʻailoga decimal mo lenei o le "127.0.0.1".

O le mafuaaga lena i le tulaga o le faʻaaogaina o se tasi o faletusi faʻafitauli, ole a le mauaina e le tusi talosaga le tupu mai o le tuatusi 0177.0.0.1 i le pito i lalo 127.0.0.1, ae o le mea moni, pe a lafoina se talosaga, le tuatusi "0177.0.0.1" mafai ona valaʻau lea ona o le le malamalama faʻamatalaina, o le upega tafaʻilagi gaioiga o le a faʻatautaia lenei e pei 127.0.0.1. E faʻapena foi, o le faʻaaogaina o tuatusi faʻapitoa e mafai ona faʻaseseina ma faʻamaonia e ala i le faʻamaotiina mai o mea taua, o le a iloiloina e le tagata osofaʻi mo le ono faʻaaogaina.

I le itu o Ele, o le faʻafitauli na maua e tatau ona i lalo o le masani faletusi "std :: net" ma o lea ua uma ona lisiina i lalo o le "CVE-2021-29922". O loʻo faʻamatalaina mai ai o le parser o IP tuatusi o lenei faletusi lafoa le se i luma o le taua o le tuatusi, ae naʻo pe a le sili atu i le tolu numera na faʻamaonia, mo se faʻataʻitaʻiga, "0177.0.0.1" o le a faʻamatalaina o se le aoga aoga ma o se faʻaiuga le saʻo o le a toe faʻafoʻi mai i le tali.

E le saʻo le sao o le sao o le string of octal string i le faletusi masani o le "net" e le faʻamaonia ai osofaʻiga mamao a le SSRF, RFI, ma le LFI i le tele o polokalame e faʻamoemoe i le ele-lang std :: net. O le octets o le tuatusi IP o loʻo tuua pea aveese ae le o le iloiloina o se aoga IP tuatusi.

O loʻo taua foi o talosaga e faʻaaogaina le std :: net :: IpAddr faletusi pe a faʻamatalaina faʻamaumauga tuatusi e le tagata faʻaaoga e ono aʻafia i osofaʻiga a le SSRF (server-itu faʻatagaina spoofing), RFI (mamao faila aofia ai) ma BIA (aofia ai o faila i le lotoifale). E faʻapena foi, se tagata osofaʻi mafai ona ulufale i le 127.0.026.1, o le mea moni 127.0.22

Mo se faʻataʻitaʻiga, o se tagata faʻataʻitaʻi na te lafoina se tuatusi IP i se upega tafailagi e faʻavae i luga o le std :: net :: IpAddr e ono mafua ai le SSRF e ala i le faʻaulufaleina mai o le sao o faamaumauga; E mafai e se tagata osofaʻi ona lafo ni tuatusi IP aoga pe a fai o le octet e 3 numera, ma le laʻititi faʻaaogaina oketi 08 lea e tau atu i le faʻafitia o le tautua ma le maualuga faʻaaogaina oketi 099 e mafua ai foi le teʻenaina o le tautua. 

Afai e te fia iloa atili e uiga i lenei vaivai i Rust, e mafai ona e siakiina auiliiliga I le fesoʻotaʻiga lenei. O loʻo taua foʻi le faʻamamaina na faʻamautuina i le lala Rust 1.53.0.

Ise taimi vave lava i le faʻafitauli e aafia ai Alu, ua taua o lenei e noatia i le tulaga masani faletusi «upega» ma ua uma ona lisiina i lalo ole CVE-2021-29923. I le faamatalaga o loo taua ai Faʻatagaina le le mautinoa o le au osofaʻiga mamao e faatino ai osofaʻiga a SSRF, RFI ma LFI faʻamautu i le tele o polokalame e faʻalagolago i le golang's built-in net.ParseCIDR gaioiga. O tagata CIDR IP octets e toʻesea nai lo le iloiloina o latou lelei IP oketi.

Mo se faʻataʻitaʻiga, e ono pasia e le tagata osofaʻi le tau o le 00000177.0.0.1, lea, a siaki i le net.ParseCIDR gaioiga, o le a faʻavasegaina o le 177.0.0.1/24, ae le 127.0.0.1/24. O le faʻafitauli e aliali mai foi i luga o le Kubernetes platform. O le vaivai na faʻamautuina i le Go lomiga 1.16.3 ma le beta version 1.17.

Oe mafai ona aoao atili e uiga i ai e uiga i lenei vaivai I le fesoʻotaʻiga lenei.


O mataupu o le tusitusiga e tausisi ia tatou mataupu silisili o amio lelei faʻatonu. E lipotia se mea sese kiliki iinei.

Ia avea muamua ma faamatalaga

Tuʻu lau faamatalaga

o le a le lomia lou tuatusi imeli.

*

*

  1. E tali atu mo faʻamatalaga: Miguel Ángel Gatón
  2. Faamoemoega o faʻamatalaga: Pulea le SPAM, faʻamatalaga pulega.
  3. Tulaga faʻatulafonoina: Lau maliega
  4. Fesoʻotaʻiga o faʻamatalaga: O faʻamatalaga o le a le fesoʻotaʻi atu i isi vaega vagana i tulafono faʻatulafonoina.
  5. Teuina o faʻamatalaga: Faʻamaumauga tuʻufaʻatasia e Occentus Networks (EU)
  6. Aia Tatau: I soo se taimi e mafai ai ona e faʻatapulaʻaina, toe maua ma aveʻese au faʻamatalaga.

bool(moni)