Σφάλμα πυρήνων παρακάμπτει ελέγχους υπογραφής σε πρότυπα εκτέλεσης

Μια νέα ευπάθεια στον σαρωτή ευπάθειας ανοιχτού κώδικα Nuclei θα μπορούσε δυνητικά να επιτρέψει στους εισβολείς να παρακάμψουν την επαλήθευση υπογραφής ενώ κρύβουν κακόβουλο κώδικα σε πρότυπα που εκτελούνται σε τοπικά συστήματα.

Το Nuclei είναι ένας δημοφιλής σαρωτής ευπάθειας ανοιχτού κώδικα που δημιουργήθηκε από το ProjectDiscovery και σαρώνει ιστότοπους για τρωτά σημεία και άλλες αδυναμίες.

Το έργο χρησιμοποιεί ένα σύστημα σάρωσης βασισμένο σε πρότυπα με περισσότερα από 10.000 πρότυπα YAML που σαρώνουν ιστότοπους για γνωστά τρωτά σημεία, εσφαλμένες διαμορφώσεις, εκτεθειμένα αρχεία διαμόρφωσης, κελύφη ιστού και κερκόπορτες.

Τα πρότυπα YAML περιλαμβάνουν επίσης α πρωτόκολλο κώδικα που μπορεί να χρησιμοποιηθεί για την εκτέλεση εντολών ή σεναρίων τοπικά σε μια συσκευή που επεκτείνει τη λειτουργικότητα ενός προτύπου.

Κάθε πρότυπο “υπογράφεται” με έναν κατακερματισμό σύνοψης που χρησιμοποιεί το Nuclei για να επαληθεύσει ότι το πρότυπο δεν έχει τροποποιηθεί ώστε να περιλαμβάνει κακόβουλο κώδικα.

Αυτός ο κατακερματισμός σύνοψης προστίθεται στο κάτω μέρος των προτύπων με τη μορφή:

# digest: 

Το ελάττωμα παρακάμπτει την επαλήθευση υπογραφής πυρήνων

Ένα νέο Πυρήνες ευπάθεια που παρακολουθείται ως CVE-2024-43405 ανακαλύφθηκε από ερευνητές στο Wiz που παρακάμπτει την επαλήθευση της υπογραφής του Nuclei ακόμα και αν ένα πρότυπο τροποποιηθεί ώστε να περιλαμβάνει κακόβουλο κώδικα.

Το ελάττωμα προκαλείται από μια επαλήθευση υπογραφής που βασίζεται σε Go regex και από τον τρόπο με τον οποίο ο αναλυτής YAML χειρίζεται τις αλλαγές γραμμής κατά την επαλήθευση της υπογραφής.

Κατά την επαλήθευση μιας υπογραφής, η λογική επαλήθευσης του Go αντιμετωπίζει \r ως μέρος της ίδιας γραμμής. Ωστόσο, ο αναλυτής YAML το ερμηνεύει ως αλλαγή γραμμής. Αυτή η αναντιστοιχία επιτρέπει στους εισβολείς να εισάγουν κακόβουλο περιεχόμενο που παρακάμπτει την επαλήθευση αλλά εξακολουθεί να εκτελείται όταν υποβάλλεται σε επεξεργασία από τον αναλυτή YAML.

Ένα άλλο θέμα είναι πώς οι πυρήνες χειρίζονται πολλαπλά # digest: γραμμές υπογραφής, καθώς η διαδικασία ελέγχει μόνο την πρώτη εμφάνιση του # digest: σε ένα πρότυπο, αγνοώντας τυχόν πρόσθετα που θα βρεθούν αργότερα στο πρότυπο.

Αυτό μπορεί να εκμεταλλευτεί προσθέτοντας επιπλέον κακόβουλα ωφέλιμα φορτία “# digest:” μετά την αρχική έγκυρη σύνοψη που περιέχουν μια κακόβουλη ενότητα “κώδικας”, η οποία στη συνέχεια εισάγεται και εκτελείται όταν χρησιμοποιείται το πρότυπο.

«Οπλισμένοι με τις γνώσεις σχετικά με τις αταίριαστες ερμηνείες νέας γραμμής, δημιουργήσαμε ένα πρότυπο που εκμεταλλεύεται τη διαφορά μεταξύ της εφαρμογής regex του Go και του αναλυτή YAML», εξηγεί ο ερευνητής του Wiz, Guy Goldenberg.

“Χρησιμοποιώντας το \r ως αλλαγή γραμμής, μπορούμε να συμπεριλάβουμε μια δεύτερη γραμμή # digest: στο πρότυπο που παρακάμπτει τη διαδικασία επαλήθευσης υπογραφής αλλά αναλύεται και εκτελείται από τον διερμηνέα YAML.”

Η Wiz αποκάλυψε υπεύθυνα το ελάττωμα στο ProjectDiscovery στις 14 Αυγούστου 2024 και επιδιορθώθηκε στο Nuclei v3.3.2 στις 4 Σεπτεμβρίου.

Εάν χρησιμοποιείτε παλαιότερες εκδόσεις του Nuclei, συνιστάται να ενημερώσετε την πιο πρόσφατη έκδοση τώρα που οι τεχνικές λεπτομέρειες για αυτό το σφάλμα έχουν δημοσιοποιηθεί.

Η Goldenberg συνιστά επίσης τη χρήση των πυρήνων σε εικονική μηχανή ή απομονωμένο περιβάλλον για την αποτροπή πιθανής εκμετάλλευσης από κακόβουλα πρότυπα.