Έρευνα ευπάθειας: SSRF και συμμόρφωση με κεφαλίδες ασφαλείας

Αντίκτυπος

Η πλαστογράφηση αιτημάτων από την πλευρά του διακομιστή (SSRF) είναι μια κρίσιμη ευπάθεια που επιτρέπει σε έναν εισβολέα να παρακινήσει μια εφαρμογή από την πλευρά του διακομιστή να υποβάλει αιτήματα σε μια ανεπιθύμητη τοποθεσία [S1]. Αυτό μπορεί να οδηγήσει σε έκθεση ευαίσθητων εσωτερικών υπηρεσιών, μη εξουσιοδοτημένη πρόσβαση σε τερματικά σημεία μεταδεδομένων cloud ή παράκαμψη των τείχη προστασίας δικτύου [S1].

Ριζική αιτία

Το SSRF συμβαίνει συνήθως όταν μια εφαρμογή επεξεργάζεται διευθύνσεις URL που παρέχονται από τον χρήστη χωρίς επαρκή επικύρωση, επιτρέποντας στον διακομιστή να χρησιμοποιηθεί ως διακομιστής μεσολάβησης για κακόβουλα αιτήματα [S1]. Πέρα από τα ενεργά ελαττώματα, η συνολική θέση ασφαλείας ενός ιστότοπου επηρεάζεται σε μεγάλο βαθμό από τις διαμορφώσεις κεφαλίδας HTTP [S2]. Το Παρατηρητήριο HTTP της Mozilla, το οποίο ξεκίνησε το 2016, έχει αναλύσει πάνω από 6,9 εκατομμύρια ιστότοπους για να βοηθήσει τους διαχειριστές να ενισχύσουν την άμυνά τους έναντι αυτών των κοινών απειλών, εντοπίζοντας και αντιμετωπίζοντας πιθανές ευπάθειες ασφαλείας [S2].

Πώς το FixVibe το δοκιμάζει

Το FixVibe καλύπτει ήδη και τα δύο μέρη αυτού του ερευνητικού θέματος:

• Επιβεβαίωση Gated SSRF: Το active.blind-ssrf εκτελείται μόνο εντός επαληθευμένων ενεργών σαρώσεων. Στέλνει δεσμευμένα καναρίνια επανάκλησης εκτός ζώνης σε παραμέτρους σε σχήμα URL και κεφαλίδες σχετικές με το SSRF που ανακαλύφθηκαν κατά την ανίχνευση και, στη συνέχεια, αναφέρει το πρόβλημα μόνο όταν το FixVibe λάβει μια επανάκληση που συνδέεται με αυτήν τη σάρωση.
• Συμμόρφωση κεφαλίδας: Το headers.security-headers ελέγχει παθητικά τις κεφαλίδες απόκρισης του ιστότοπου για τα ίδια στοιχεία ελέγχου σκληρύνσεως του προγράμματος περιήγησης που τονίζονται από κριτικές τύπου Παρατηρητηρίου, συμπεριλαμβανομένων των CSP, HSTS, X-, X-Content-Type-Options, Referrer-Policy και Permissions-Policy.

Ο ανιχνευτής SSRF δεν απαιτεί καταστρεπτικά αιτήματα ή πρόσβαση με έλεγχο ταυτότητας. Έχει στόχο να επαληθεύσει στόχους και να αναφέρει συγκεκριμένα στοιχεία επανάκλησης αντί να μαντέψει μόνο από ονόματα παραμέτρων.