Dhawaan macluumaad ku saabsan baylahda ayaa la sii daayay kuwaas oo laga helay maktabadaha caadiga ah ee afafka Miridh iyo Go, kuwaas oo ah la xiriirta si xun u -maareynta cinwaanada IP -ga leh tirooyin octal ah oo ku jira hawlaha falanqaynta cinwaanka.
Waxaa la xusay in eJilicsanaantaani waxay kuu oggolaaneysaa inaad ka fogaato xaqiijinta cinwaanno ansax ah iyon codsiyada, tusaale ahaan, si loo abaabulo marin u helka cinwaannada interface-ka loopback ama subnets intranet-ka marka la fuliyo weerrada weerrada weerrarka.
Jilicsanaanta labadan luqadood Xargaha cinwaanka IP -ga waxay leeyihiin garashada tilmaanta eber ku salaysan, maadaama aad tahay aragti ahaan waa in loo fasiraa tirooyinka octal, laakiin Dhibaatada dhalisa cilladahaan ayaa ah in maktabado badan aysan tan tixgelin siin oo ay iska tuuraan eberka, sidaas darteed waxay aakhirka ku daaweynayaan qiimaha sidii lambar tobanle.
Tusaale ahaan, si loo fahmo sida cinwaanada IP loogu fasiro cayayaankaan, lambarka 0177 ee octal waa 127 jajab tobanle kaas oo weeraryahanku ku codsan karo ilo tilmaamaya qiimaha "0177.0.0.1", kaas oo, maadaama aan la qaadan sida octal, calaamadda tobanle ee tan waa "127.0.0.1".
Taasi waa sababta marka laga hadlayo isticmaalka mid ka mid ah maktabadaha dhibaatada leh, codsiga ma ogaan doono dhacdada cinwaanka 0177.0.0.1 ee subnet 127.0.0.1, laakiin dhab ahaantii, marka aad codsi dirayso, waxaad wici kartaa cinwaanka "0177.0.0.1" oo fasiraad khaldan awgeed, hawlaha shabakadu waxay tan u habayn doonaan sida 127.0.0.1. Sidoo kale, helitaanka cinwaanada intranet -ka waa la khiyaamayn karaa oo la xaqiijin karaa iyadoo la qeexayo qiimayaal kala duwan, kuwaas oo qofka wax weerara uu qiimeyn doono ka faa'iidaysiga suurtogalka ah.
Dhinaca Miridhku, dhibaatada ayaa la ogaaday inay hoos imanayso maktabadda caadiga ah "std :: net" kaas oo horay loogu qoray “CVE-2021-29922”. Waxay qeexaysaa taas cinwaanka IP -ga maktabaddaan wuxuu ku tuuraa eber xagga qiimaha cinwaanka, laakiin kaliya haddii aan la cayimin wax ka badan saddex lambar, tusaale ahaan, "0177.0.0.1" waxaa loo fasiran doonaa qiime aan sax ahayn oo natiijo aan sax ahayn ayaa jawaab loo celin doonaa.
Xaqiijinta soo galinta xarig octal aan sax ahayn ee maktabadda “net” ee daxalka-lang-ka ah ayaa u oggolaanaysa weeraryahannada fog ee aan la xaqiijin inay fuliyaan weerarro aan la hubin oo SSRF, RFI, iyo LFI ah barnaamijyo badan oo ku tiirsan miridh-lang std :: net. Octets -ka cinwaanka IP -ga ayaa la siibay halkii laga qiimayn lahaa cinwaanada IP -ga oo sax ah.
Waxaa sidoo kale la sheegay in codsiyada isticmaala maktabadda std :: net :: IpAddr marka la kala saarayo cinwaannada cayiman adeegsade waxay u nugul yihiin weerarada SSRF (codsi dhinaca server-ka ah), RFI (ku darista faylka fog) iyo BIA (ku darista faylasha deegaanka). Sidoo kale, weeraryahanku wuxuu geli karaa 127.0.026.1, oo runtii ah 127.0.22
Tusaale ahaan, weeraryahan u soo diraya cinwaanka IP -ga arjiga shabakadda ee ku saleysan std :: net :: IpAddr wuxuu sababi karaa SSRF isagoo galaya xogta gelitaanka octal; Weeraryahanku wuxuu soo diri karaa cinwaanada IP ee la adeegsan karo haddii octetku leeyahay 3 lambar, oo leh ugu yaraan octet 08 oo la adeegsan karo taasoo horseedaysa diidmada adeegga iyo octet -ka ugu badan ee la adeegsan karo 099 kaas oo sidoo kale keenaya in adeeg la diido.
Haddii aad rabto inaad wax badan ka ogaato nuglaanshahan gudaha Rust, waxaad ka eegi kartaa faahfaahinta Xiriirka soo socda. Waxaa sidoo kale la xusay in nuglaanta lagu xaliyay laanta miridhku 1.53.0.
Sida ugu dhakhsaha badan dhibka saameeya si aad u tagto, waxaa la sheegay in tani ay ku xiran tahay maktabadda caadiga ah «net» waxaana durba ku hoos qoran CVE-2021-29923. Sharaxaadda waxaa lagu xusay in waxay u oggolaaneysaa weeraryahannada fog ee aan la xaqiijin inay fuliyaan weerarrada SSRF, RFI iyo LFI aan la go'aamin karin barnaamijyo badan oo ku tiirsan golang's net.ParseCIDR oo la dhisay. CctR IP octets -ka shaqsiyeed ayaa la siibay halkii lagu qiimeyn lahaa inay yihiin octets IP sax ah.
Tusaale ahaan, weeraryahanku wuxuu dhaafi karaa qiimaha 00000177.0.0.1, kaas oo, marka la fiiriyo shabakadda. Dhibaatadu sidoo kale waxay ka muuqataa madal Kubernetes. Jilicsanaanta waxaa lagu hagaajiyay nooca Go 177.0.0.1 iyo nooca beta 24.
Waxaad wax badan ka baran kartaa ku saabsan nuglaanshahan Xiriirka soo socda.