Npm Netmask SSRF绕过误差（CVE-2021-28918）

宣布时间 2021-03-29

0x00 误差概述

CVE  ID

CVE-2021-28918

时    间

2021-03-29

类   型


等    级

高危

远程使用

是

影响规模

Netmask <= v1.1.0

PoC/EXP

已果真

在野使用


 

0x01 误差详情

image.png

 

Netmask是npm库中的一个软件包，，，，，，，它被成千上万的应用程序用来剖析或较量IPv4地点和CIDR块。。。。。。。该软件包的每周下载量凌驾300万次，，，，，，，阻止现在，，，，，，，netmask已经累计有凌驾2.38亿的总下载量。。。。。。。别的，，，，，，，约莫有278,000个GitHub存储库依赖netmask。。。。。。。

2021年03月28日，，，，，，，netmask被披露保存一个可导致SSRF或RFI的清静误差（CVE-2021-28918）。。。。。。。在剖析IP地点时带有前导零的情形下，，，，，，，由于未准确举行验证，，，，，，，网络掩码将会剖析为差别的IP。。。。。。。该误差将导致成千上万的项目容易受到SSRF绕过的攻击，，，，，，，现在该误差的PoC已在GitHub上果真。。。。。。。

IP地点可以用多种名堂体现，，，，，，，包括十六进制和整数，，，，，，，但最常见的IPv4地点以十进制名堂体现。。。。。。。好比，，，，，，，IPv4地点以十进制名堂体现为104.20.59.209，，，，，，，可是八进制名堂体现为0150.0024.0073.0321。。。。。。。

在Chrome浏览器的地点栏中输入0127.0.0.1/，，，，，，，浏览器会将其视为八进制名堂的IP。。。。。。。现实上，，，，，，，当按下Enter或Return键后，，，，，，，IP会更改为十进制等效值87.0.0.1。。。。。。。这是由于大大都网络浏览器（如Chrome），，，，，，，会自动赔偿混及名堂的IP。。。。。。。这就是大大都应用程序处置惩罚此类模棱两可的IP地点的方法。。。。。。。

image.png

 

需要注重的是，，，，，，，127.0.0.1并非公共IP地点，，，，，，，而是一个环回地点，，，，，，，可是，，，，，，，通过模棱两可的体现将其更改为公共IP地点，，，，，，，从而导致剖析为另一台主机。。。。。。。

可是，，，，，，，关于npm netmask，，，，，，，任何前导零都会被简朴地剥离和扬弃。。。。。。。凭证IETF的原始规范，，，，，，，IPv4地点的部分若是前缀为 0，，，，，，，可以被剖析为八进制。。。。。。。可是netmask忽略了这一点，，，，，，，它始终将IP视为十进制，，，，，，，这意味着在您实验验证IP属于某个规模时，，，，，，，使用基于八进制的IPv4地点体现将是过失的。。。。。。。

若是攻击者能够影响应用程序剖析的IP地点，，，，，，，则该问题可能会导致种种误差，，，，，，，从效劳器端请求伪造（SSRF）绕过到远程文件包括（RFI）。。。。。。。

攻击者在运行节点效劳器来整理入站请求或盘问参数，，，，，，，该请求或盘问参数可能是用于进一步毗连的URI，，，，，，，或使用较早的0前缀JavaScript体现形式，，，，，，，以基于八进制的部分或所有八位字节来制作IP。。。。。。。这可能导致SSRF，，，，，，，例如，，，，，，，通过转达0177.0.0.01来强制效劳器毗连到127.0.0.1（177是十进制127的八进制数）。。。。。。。一个很好的例子是，，，，，，，一个袒露webhooks并通过netmask检磨练证用户URL的系统容易受到SSRF攻击。。。。。。。

image.png

而这个bug也可以被使用来举行远程文件包括（RFI），，，，，，，若是攻击者制作一个对netmask来说看起来是私有的IP地点，，，，，，，由于netmask将所有IPv4部分（八位数）转换为十进制名堂的方法，，，，，，，被其它组件评估为公共名堂。。。。。。。

种种网络基础架构和清静产品（例如 Web应用防火墙）都依赖于网络掩码来过滤出阻止列表和允许列表中的IP。。。。。。。这还意味着，，，，，，，若是不加以检查，，，，，，，则可能会导致此类缺陷，，，，，，，从而导致严重bug。。。。。。。

2018年，，，，，，，盛行的软件项目 curl中也发明具有相同类型的误差，，，，，，，它将八进制IPv4地点剖析为十进制，，，，，，，好比，，，，，，，运行“ curl -v 0177.0.0.1”curl毗连到177.0.0.1，，，，，，，而不是环回地点127.0.0.1。。。。。。。此前，，，，，，，Sick Codes、Jackson和Sahler曾在private-ip软件包中发明了一个类似的误差（CVSS评分9.8），，，，，，，该软件包每周有17.5万左右的下载量。。。。。。。

 

0x02 处置惩罚建议

现在此误差已经修复，，，，，，，建议实时更新至netmask版本2.0.0。。。。。。。

下载链接：

https://www.npmjs.com/package/netmask

 

0x03 参考链接

https://www.npmjs.com/package/netmask

https://github.com/sickcodes/security/blob/master/advisories/SICK-2021-011.md

https://www.bleepingcomputer.com/news/security/critical-netmask-networking-bug-impacts-thousands-of-applications/

https://sick.codes/universal-netmask-npm-package-used-by-270000-projects-vulnerable-to-octal-input-data-server-side-request-forgery-remote-file-inclusion-local-file-inclusion-and-more-cve-2021-28918/

 

0x04 时间线

2021-03-28  Sick codes披露误差

2021-03-29  VSRC宣布清静通告

 

0x05 附录

 

CVSS评分标准官网：http://www.first.org/cvss/

image.png