Npm Netmask SSRF绕过缝隙（CVE-2021-28918）

颁布功夫 2021-03-29

0x00 缝隙概述

CVE  ID

CVE-2021-28918

时    间

2021-03-29

类   型


等    级

高危

远程利用

是

影响领域

Netmask <= v1.1.0

PoC/EXP

已公开

在野利用


 

0x01 缝隙详情

image.png

 

Netmask是npm库中的一个软件包，，，它被成千上万的利用法式用来解析或比力IPv4地址和CIDR块。。该软件包的每周下载量超过300万次，，，截至目前，，，netmask已经累计有超过2.38亿的总下载量。。此外，，，约莫有278,000个GitHub存储库依赖netmask。。

2021年03月28日，，，netmask被披露存在一个可导致SSRF或RFI的安全缝隙（CVE-2021-28918）。。在解析IP地址时带有前导零的情况下，，，由于未正确进行验证，，，网络掩码将会解析为分歧的IP。。该缝隙将导致成千上万的项目容易受到SSRF绕过的攻击，，，目前该缝隙的PoC已在GitHub上公开。。

IP地址能够用多种体式暗示，，，蕴含十六进制和整数，，，但最常见的IPv4地址以十进制体式暗示。。好比，，，IPv4地址以十进制体式暗示为104.20.59.209，，，但是八进制体式暗示为0150.0024.0073.0321。。

在Chrome浏览器的地址栏中输入0127.0.0.1/，，，浏览器会将其视为八进制体式的IP。。现实上，，，当按下Enter或Return键后，，，IP会更改为十进制等效值87.0.0.1。。这是由于大无数网络浏览器（如Chrome），，，会自动赔偿混合体式的IP。。这就是大无数利用法式处置此类闪烁其词的IP地址的方式。。

image.png

 

必要把稳的是，，，127.0.0.1并非公共IP地址，，，而是一个环回地址，，，但是，，，通过闪烁其词的暗示将其更改为公共IP地址，，，从而导致解析为另一台主机。。

但是，，，对于npm netmask，，，任何前导零城市被单一地剥离和抛弃。。凭据IETF的原始规范，，，IPv4地址的部门若是前缀为 0，，，能够被解析为八进制。。但是netmask忽略了这一点，，，它始终将IP视为十进制，，，这意味着在您尝试验证IP属于某个领域时，，，使用基于八进制的IPv4地址暗示将是谬误的。。

若是攻击者可能影响利用法式解析的IP地址，，，则该问题可能会导致各类缝隙，，，从服务器端要求伪造（SSRF）绕过到远程文件蕴含（RFI）。。

攻击者在运行节点服务器来算帐入站要求或查问参数，，，该要求或查问参数可能是用于进一步衔接的URI，，，或使用较早的0前缀JavaScript暗示大局，，，以基于八进制的部门或全数八位字节来制作IP。。这可能导致SSRF，，，例如，，，通过传递0177.0.0.01来强礼服务器衔接到127.0.0.1（177是十进制127的八进制数）。。一个很好的例子是，，，一个露出webhooks并通过netmask查抄验证用户URL的系统容易受到SSRF攻击。。

image.png

而这个bug也能够被利用来进行远程文件蕴含（RFI），，，若是攻击者制作一个对netmask来说看起来是私有的IP地址，，，由于netmask将所有IPv4部门（八位数）转换为十进制体式的方式，，，被其它组件评估为公共体式。。

各类网络基础架构和安全产品（例如 Web利用防火墙）都依赖于网络掩码来过滤出阻止列表和允许列表中的IP。。这还意味着，，，若是不加以查抄，，，则可能会导致此类缺点，，，从而导致严重bug。。

2018年，，，盛行的软件项目 curl中也发现拥有一样类型的缝隙，，，它将八进制IPv4地址解析为十进制，，，好比，，，运行“ curl -v 0177.0.0.1”curl衔接到177.0.0.1，，，而不是环回地址127.0.0.1。。此前，，，Sick Codes、 、、Jackson和Sahler曾在private-ip软件包中发现了一个类似的缝隙（CVSS评分9.8），，，该软件包每周有17.5万左右的下载量。。

 

0x02 措置建议

目前此缝隙已经修复，，，建议实时更新至netmask版本2.0.0。。

下载链接：：：

https://www.npmjs.com/package/netmask

 

0x03 参考链接

https://www.npmjs.com/package/netmask

https://github.com/sickcodes/security/blob/master/advisories/SICK-2021-011.md

https://www.bleepingcomputer.com/news/security/critical-netmask-networking-bug-impacts-thousands-of-applications/

https://sick.codes/universal-netmask-npm-package-used-by-270000-projects-vulnerable-to-octal-input-data-server-side-request-forgery-remote-file-inclusion-local-file-inclusion-and-more-cve-2021-28918/

 

0x04 功夫线

2021-03-28  Sick codes披露缝隙

2021-03-29  VSRC颁布安全公告

 

0x05 附录

 

CVSS评分尺度官网：：：http://www.first.org/cvss/

image.png