🛒 🌍 〰️ Acerca de una vulnerabilidad en ... 🌈 🍌 🈹

Hace un año, 21 de marzo de 2019, en un programa de recompensas de errores Mail.ru en HackerOne llegó un muy buen informe de errores de maxarr . Al incrustar un byte cero (ASCII 0) en el parámetro POST de una de las solicitudes de API de correo web que devolvió un redireccionamiento HTTP, se vieron fragmentos de memoria no inicializada en los datos de redireccionamiento, en los que fragmentos de parámetros GET y encabezados de otras solicitudes El mismo servidor.

Esta es una vulnerabilidad crítica porque Las solicitudes incluyen cookies de sesión. Unas horas más tarde, se realizó una corrección temporal, que filtró un byte cero (como resultó más tarde, esto no fue suficiente, porque existía la posibilidad de inyectar CRLF / ASCII 13, 10, que le permite manipular los encabezados y los datos de la respuesta HTTP, esto es menos crítico, pero sigue siendo desagradable) Al mismo tiempo, el problema se remitió a analistas de seguridad y desarrolladores para encontrar y eliminar las causas del error.

Mail.ru mail es una aplicación muy complicada, una gran cantidad de componentes front-end / back-end diferentes, tanto de código abierto (muchas gracias a todos los desarrolladores de software libre) como de nuestro propio desarrollo, pueden participar en la respuesta. Fue posible excluir todos los componentes excepto nginx y openresty y localizar el problema antes de llamar a ngx.req.set_uri ()en un script OpenResty que no se comportó como se esperaba (pegue un byte cero o avance de línea a través de parámetros GET de reescribir a ngx_http_rewrite_module, que, según la documentación, se usa y, al parecer, debería funcionar absolutamente de la misma manera). Se eliminaron las posibles consecuencias, se agregó el filtrado más estricto y se verificó que el filtrado elimina todos los vectores posibles. Pero el mecanismo que condujo a la pérdida de contenido de la memoria siguió siendo un misterio. Un mes después, el informe de error se cerró según lo autorizado, y el análisis de las causas del error se pospuso hasta tiempos mejores.

OpenResty es un complemento muy popular que le permite escribir scripts Lua dentro de nginx, y se usa en varios proyectos de Mail.ru, por lo que el problema no se consideró resuelto. Y después de un tiempo, sin embargo, volvieron a ella para comprender las verdaderas causas, las posibles consecuencias y hacer recomendaciones para los desarrolladores. El código fuente fue excavado por Denis Denisov y Nikolai Ermishkin . Resultó que:

nginx rewrite directory traversal ( SSRF) , , Nginx Amplify Gixy (, , ). OpenResty , .

:
```
location ~ /rewrite {
    rewrite ^.*$ $arg_x;
}

location / {
    root html;
    index index.html index.htm;
}
```
curl localhost:8337/rewrite?x=/../../../../../../../etc/passwd root:x:0:0:root:/root:/bin/bash daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin bin:x:2:2:bin:/bin:/usr/sbin/nologin ...

nginx , , rewrite . nginx , , , , , . .

(^@ )


location ~ /memleak {
    rewrite ^.*$ "^@asdfasdfasdfasdfasdfasdfasdfasdfasdfasdfasdasdf";
}

location / {
    root html;
    index index.html index.htm;
}

curl localhost:8337/secret -vv
...
curl localhost:8337/memleak -vv
...
Location: http://localhost:8337/secret
...

Nginx GET- rewrite GET-. nginx . POST . OpenResty GET POST , POST OpenResty .

:

location ~ /memleak {
    rewrite_by_lua_block {
        ngx.req.read_body();
        local args, err = ngx.req.get_post_args();
        ngx.req.set_uri( args["url"], true );
    }
}

location / {
    root html;
    index index.html index.htm;
}

curl localhost:8337 -d "url=secret" -vv
...
curl localhost:8337 -d "url=%00asdfasdfasdfasdfasdfasdfasdfasdf" -vv
...
Location: http://localhost:8337/{... secret...}
...

El problema se informó a los desarrolladores de nginx y OpenResty, los desarrolladores no consideran el problema como un error de seguridad en nginx, porque en nginx en sí no hay forma de explotar el error mediante la inyección de caracteres especiales, la solución para revelar el contenido de la memoria se publicó el 16 de diciembre. En los 4 meses transcurridos desde el informe, no se realizaron cambios en OpenResty, aunque se entendió que se necesitaba una versión segura de la función ngx.req.set_uri (). El 18 de marzo de 2020, publicamos la información; el 21 de marzo, OpenResty lanzó la versión 1.15.8.3 , que agrega una verificación de URI.

Portswigger escribió Tomé un buen artículo de OpenResty y Nginx (aunque el comentario de que solo se revela un pequeño fragmento de memoria es incorrecto y engañoso, esto está determinado por la longitud de la línea que sigue al byte cero y, en ausencia de restricciones de longitud obvias, puede ser controlado por el atacante).

Entonces, ¿cuál fue el error y qué hacer para evitarlo?

¿Hubo un error en nginx? Sí, lo fue, porque una pérdida de memoria es un error de todos modos.

¿Hubo un error en OpenResty? Sí, al menos el tema de la seguridad de la funcionalidad ofrecida por OpenResty no ha sido investigado ni documentado.

¿Se ha cometido un error de configuración / uso de OpenResty? Sí, porque en ausencia de una indicación explícita, se hizo una suposición no verificada sobre la seguridad de la funcionalidad utilizada.

¿Cuál de estos errores es una vulnerabilidad de seguridad de recompensa de $ 10,000?Para nosotros, esto generalmente no es importante. En cualquier software, especialmente en la unión de varios componentes, especialmente aquellos proporcionados por diferentes proyectos y desarrolladores, nadie puede garantizar que todas las características de su trabajo sean conocidas y documentadas y que no haya errores. Por lo tanto, cualquier vulnerabilidad de seguridad surge exactamente donde afecta la seguridad.

En cualquier caso, es una buena práctica normalizar o limitar / filtrar los datos de entrada, que van a cualquier módulo / API externo, si no hay indicaciones explícitas y un claro entendimiento de que esto no es necesario.

Errata

De acuerdo con la experiencia del artículo anterior , para preservar la pureza del lenguaje:

una recompensa de errores - concurso de búsqueda de errores
informe de errores -
redirección de notificación de error - redirección
opensorsny - código abierto
conocido como errata - trabajo en los errores

Acerca de una vulnerabilidad en ...

Entonces, ¿cuál fue el error y qué hacer para evitarlo?

Errata

More articles: