Η ευπάθεια 0.0.0.0 Day, επηρεάζει εδώ και 18 χρόνια browsers σε Linux και MacOS

[nnn]

Ερευνητές κυβερνοασφάλειας ανακάλυψαν μια νέα ""0.0.0.0 Day"" που επηρεάζει όλα τα μεγάλα προγράμματα περιήγησης στο διαδίκτυο και την οποία κακόβουλοι ιστότοποι μπορούν να εκμεταλλευτούν για να παραβιάσουν τοπικά δίκτυα. Η κρίσιμη ευπάθεια "εκθέτει ένα θεμελιώδες ελάττωμα στον τρόπο με τον οποίο τα προγράμματα περιήγησης χειρίζονται τα αιτήματα δικτύου, παρέχοντας δυνητικά σε κακόβουλους φορείς πρόσβαση σε ευαίσθητες υπηρεσίες που εκτελούνται σε τοπικές συσκευές", δήλωσε ο ερευνητής της Oligo Security Avi Lumelsky.

Ως αποτέλεσμα, μια φαινομενικά ακίνδυνη διεύθυνση IP όπως η 0.0.0.0 θα μπορούσε να χρησιμοποιηθεί ως όπλο για την εκμετάλλευση τοπικών υπηρεσιών, με αποτέλεσμα τη μη εξουσιοδοτημένη πρόσβαση και την απομακρυσμένη εκτέλεση κώδικα από επιτιθέμενους εκτός δικτύου. Το κενό λέγεται ότι υπάρχει από το 2006.

Η 0.0.0.0 Day επηρεάζει τους Google Chrome/Chromium, Mozilla Firefox και Apple Safari, οι οποίοι επιτρέπουν σε εξωτερικούς ιστότοπους να επικοινωνούν με λογισμικό που εκτελείται τοπικά σε macOS και Linux. Δεν επηρεάζει τις συσκευές Windows, καθώς η Microsoft μπλοκάρει τη διεύθυνση IP σε επίπεδο λειτουργικού συστήματος.

Ειδικότερα, η Oligo Security διαπίστωσε ότι οι δημόσιες ιστοσελίδες που χρησιμοποιούν domains με κατάληξη ".com" είναι σε θέση να επικοινωνούν με υπηρεσίες που εκτελούνται στο τοπικό δίκτυο και να εκτελούν αυθαίρετο κώδικα στον υπολογιστή του επισκέπτη χρησιμοποιώντας τη διεύθυνση 0.0.0.0.0 σε αντίθεση με τη διεύθυνση localhost/127.0.0.1. Πρόκειται επίσης για παράκαμψη της υπηρεσίας Private Network Access (PNA), η οποία έχει σχεδιαστεί για να απαγορεύει στους δημόσιους ιστότοπους την απευθείας πρόσβαση σε τερματικά σημεία που βρίσκονται εντός ιδιωτικών δικτύων.

Οποιαδήποτε εφαρμογή που εκτελείται στο localhost και είναι προσβάσιμη μέσω του 0.0.0.0 είναι πιθανότατα ευάλωτη σε απομακρυσμένη εκτέλεση κώδικα, συμπεριλαμβανομένων των τοπικών περιπτώσεων Selenium Grid με την αποστολή μιας αίτησης POST στο 0.0.0[.]0:4444 με ένα επεξεργασμένο ωφέλιμο φορτίο.

Σε απάντηση στα ευρήματα τον Απρίλιο του 2024, τα προγράμματα περιήγησης ιστού αναμένεται να αποκλείσουν πλήρως την πρόσβαση στο 0.0.0.0.0, καταργώντας έτσι την άμεση πρόσβαση σε τερματικά σημεία ιδιωτικού δικτύου από δημόσιους ιστότοπους.

Πηγή : The Hackernews

[aSMiLoN]

Κρίσιμη ευπάθεια, ανοικτή σχεδόν 20 χρόνια και επηρεάζει μόνο linux & Mac? Πως το καταφέρατε αυτό ρε μάγκες; ????

[th3m]

uBlock Origin και ενεργοποίηση του "Block Outsider Intrusion into LAN" στα filter lists για να μην σας επηρεάζει η ευπάθεια

[mzaf]

uBlock Origin και ενεργοποίηση του "Block Outsider Intrusion into LAN" στα filter lists για να μην σας επηρεάζει η ευπάθεια

[deniSun]

Θα είχε ενδιαφέρον τώρα να ακούσουμε μερικές απόψεις περί ανοιχτού κώδικα, πόσο γρήγορα κλείνουν προβλήματα σε linuxοειδή κλπ

ΥΓ
Σε πολιτισμένο, θα παρακαλούσα, περιβάλλον...

[newbye]

Έπαθε κανένας από σας τίποτα; Όχι... άρα το "πιθανό" δεν είναι και τόσο πιθανό! Πάμε παρακάτω

[zardoz]

Θα είχε ενδιαφέρον τώρα να ακούσουμε μερικές απόψεις περί ανοιχτού κώδικα, πόσο γρήγορα κλείνουν προβλήματα σε linuxοειδή κλπ

ΥΓ
Σε πολιτισμένο, θα παρακαλούσα, περιβάλλον...

Κανένα auditing ανοιχτού κώδικα δεν θα το "έπιανε", γιατί απλά είναι exploit μιας κατάστασης που ποτέ δε διασαφηνίστηκε. Στο RFC 1700 έχει οριστεί 0.0.0.0/8
ως τοπικό δίκτυο και στο RFC 1122 ότι κανείς δε μπορεί να κάνει send στο 0.0.*.* είτε κανονικά είτε ως broadcast.

Στο linux το 0.0.0.0 αξιοποιείται από το ίδιο το σύστημα για να "μάθει" την/τις ip addresses του. Kανονικά (RFC 1122) δεν μπορείς να κάνεις protocol send σε
αυτό το ip ακόμα και αν κάποιοι ενώ κάνουν bind στο 127.0.0.1 έχουν "καβατζώσει" listening και στο 0.0.0.0.

1. Αν τρέξεις εφαρμογή, αυτή μπορεί (αν θέλει) να κάνει send στο 0.0.0.0. Αλλά τότε έτσι κι αλλιώς ρισκάρεις τον ιό, εσύ το έτρεξες μόνος σου

2. Από την άλλη Είναι δουλειά των browsers να μην επιτρέπουν "references" στο 0.0.0.0, όπως προβλέπει το 1122. γιατί κακόβουλες ιστοσελίδες θα το κάνουν.
Είναι δουλειά των browsers να ελέγχουν τις σελίδες, οι εφαρμογές ΚΑΝΟΝΙΚΟΤΑΤΑ μπορούν (αν και δε πρέπει) να αξιοποιούν το 0.0.0.0.

ΥΓ: Είναι σα να μην είχαν στο μυαλό να μπλοκάρουν το 0.0.0.0 σε GET/POST ενώ μπλοκάρουν το localhost και όλα τα "τοπικά" (όπως αναφέρονται στο 1700)
για τα οποία βγάζουν "warnings". Το ότι το "ξέχασαν" όλοι οι browsers φυσικά παραμένει περίεργο.

[BlueChris]

Παίζει να είναι η 1η φορά στα χρονικά που κάτι δεν επηρεάζει τα windows? Που πάει ο κόσμος?

[acct]

Που πάει ο κόσμος?

[deniSun]

Έπαθε κανένας από σας τίποτα; Όχι... άρα το "πιθανό" δεν είναι και τόσο πιθανό! Πάμε παρακάτω

Γιατί; Ξέρεις πολλούς που να έπαθαν κάτι από τα κατά καιρούς ανακοινωμένα προβλήματα ασφαλείας;

[Uridium]

Ούτε που ήξερα οτι το 0.0.0.0 είναι loval host. Oh wait... έχω windows

[x_undefined]

πλήρως την πρόσβαση στο 0.0.0.0.0

Πολύ καλά τα πήγε πάλι το AI μετάφρασης. Βάλε μηδενικά να υπάρχουν, μάστορα.

[megahead13]

uBlock Origin και ενεργοποίηση του "Block Outsider Intrusion into LAN" στα filter lists για να μην σας επηρεάζει η ευπάθεια

[Slammer]

Δεν βλέπω διαφορά μεταξύ 127.0.0.1 και 0.0.0.0 όταν κάνω nmap, στην ουσία ειναι το localhost. Δεν ξερω τι προβλέπουν οι κανονισμοί, πάντως δεν είναι θεμα browsers το ίδιο το λειτουργικό το βλέπει ετσι (κακώς γιατί δεν υπάρχει interface με ip 0.0.0.0, και για να μπλοκαριστεί σε firewall θέλει ρητό κανόνα)

[deniSun]

Δεν βλέπω διαφορά μεταξύ 127.0.0.1 και 0.0.0.0 όταν κάνω nmap, στην ουσία ειναι το localhost. Δεν ξερω τι προβλέπουν οι κανονισμοί, πάντως δεν είναι θεμα browsers το ίδιο το λειτουργικό το βλέπει ετσι (κακώς γιατί δεν υπάρχει interface με ip 0.0.0.0, και για να μπλοκαριστεί σε firewall θέλει ρητό κανόνα)

Συμφωνώ και εγώ ότι είναι θέμα λειτουργικού.
Αυτό που γνωρίζω είναι ότι σε win παίζεις με localhost με 127.0.0.1.
Το 0.0.0.0 απαντάει με "Transmit error: code 1214".

Σε linux παίζεις με localhost και με 127.0.0.1 και με 0.0.0.0.
Οι μισές λίστες για block που χρησιμοποιούμε σε Pi-hole έχουν αναφορές σε 127 και άλλες σε 0.