Axios kütüphanesindeki başlık enjeksiyonu (CRLF) istismarıyla bulut sunucularında yetki ele geçirme açığı

 (github.com/axios)
7 puan yazan dowha 16 일 전 | 2 yorum | WhatsApp'ta paylaş

Bu açık, saldırganların AWS gibi bulut sunucularında yönetici yetkilerini ele geçirmesine olanak tanıyan kritik bir hatadır.

Saldırı zinciri (Chain): Bu saldırı yalnızca Axios ile ortaya çıkmaz. Projenizde kurulu başka bir kütüphanede bir açık (prototype pollution) varsa, saldırgan bunu sıçrama taşı olarak kullanıp Axios'tan bir araç (gadget) gibi yararlanabilir.

Başlık enjeksiyonu ve request smuggling: Saldırgan, özel satır sonu karakterlerini (\r\n) kötüye kullanarak geliştiricinin yazdığı güvenli Axios istek kodunun arkasına kendi oluşturduğu zararlı bir isteği gizlice ekleyip birlikte gönderebilir. (Bu, Axios'un başlıklardaki satır sonu karakterlerini düzgün şekilde filtrelememesinden kaynaklanır.)

Kritik sonuç: Saldırgan bu gizli isteği bulut iç ağına (AWS metadata service) göndererek bulut güvenlik mekanizmasını (IMDSv2) atlatabilir ve tüm bulut hesabını kontrol etmeye yarayan kimlik anahtarlarını (IAM credentials) çalabilir.

İlgili okumalar

2 yorum

 
preserde 15 일 전

Bir süredir güncelleme almadan istikrarlı şekilde çalışan axios’un kaçıncı güncellemesini yaptığını artık bilmiyorum... lodash da güncellenmişti de...
 
dowha 16 일 전

*Önem Derecesi: Kritik (CVSS 9.9)
**Etkilenen Sürümler: Tüm sürümler (v0.x - v1.x)