آسیب پذیری روز صفر در Nginx 18.1

اخیرا خبرهایی مبنی بر وجود یک آسیب پذیری روز صفر در Nginx 1.18 منتشر شده. در این پست به بررسی کوتاه این آسیب پذیری خواهیم پرداخت . این آسیب پذیری بطور عمومی منتشر نشده و در مراحل بررسی هستش و تیمی که در حال بررسی هست اطلاعات کلی رو از نتایج تحقیقشون قرار میدن.

به گفته AgainstTheWest این اکسپلویت توسط گروه BrazenEagle حدود دو هفته پیش ، تقریبا از زمان انتشار اکسپلویت Spring4Shell به دستشون رسیده و هنوز تو مراحل اولیه درک و نحوه استفاده از این اکسپلویت هستن ، و گروه BrazenEagle روی یک آسیب پذیری از یه محصول دیگه تمرکز کرده که به گفته خودشون سودآورتره !

در صورتیکه اکسپلویت و آسیب پذیری به مرحله نهایی برسه با تیم امنیتی Nginx در هکروان یا پلتفرم داخلیشون تعامل میکنن.

اکسپلویت حاوی دو مرحله هستش .مرحله اول با افشای اطلاعات کار می کنه که امکان LDAP injection رو فراهم می کنه.از نظر تاثیر، روی آخرین نسخه کار میکنه . اگر یک WAF در حال استفاده باشه، انجام اون دشواره، مگه اینکه Backend (منظور هدف اصلی که پشت WAF قرار گرفته ) پیدا بشه و رو اون استفاده بشه. مثلا اگه از کلودفلیر استفاده بشه ، اون حمله رو بلاک میکنه. البته این گروه اعلام کرده که تونستن برخی از WAFهارو هم دور بزنن.

اکسپلویت زمانی کار میکنه که ldap-auth daemon در کنار Nginx استفاده بشه. اغلب کانفیگ های رایج Nginx این آسیب پذیری رو دارند. روی اکانتهای Atlassian هم جواب گرفتن .

این گروه توصیه کرده تا گرفتن پاسخ از Nginx ، ویژگی ldapDaemon.enabled رو غیر فعال کنید و اگه نیاز به راه اندازی اون دارید حداقل ویژگی ldapDaemon.ldapConfig رو به حالت پیش فرض قرار ندید و اطلاعات درستی رو وارد کنید.

این گروه با بروزرسانی از تحقیقات اخیرشون در خصوص این اکسپلویت گفتند که با بررسی بیشتر این آسیب پذیری گویا مشکل از Nginx نیست و پای LDAP هم به میون اومده .مشکل اینه که فقط با نمونه nginx با استفاده از LDAP کار می کنه. تا روشن شدن نتیجه ، نیاز به تجزیه و تحلیل بیشتر هستش. به نظر می رسه فقط روی این نسخه تأثیر میزاره. اگر نسخه های به روز شده پروتکل LDAP رو تحت تأثیر قرار بده، نتیجه مشخص میشه.

همونطور که بالا هم اشاره کردیم این اکسپلویت در حال بررسی هستش و تیم بررسی کننده با دریافت نتایج بیشتر ، اطلاعات رو بروز میکنه. برای دریافت اطلاعات بروز اینجا رو ببینید.

بروزرسانی :

دیروز Nginx یه پستی رو منتشر کرده و به اما و اگرها پاسخ داده. تو این پست اومده که آسیب پذیری در خصوص NGINX LDAP reference هستش و نسخه های NGINX Open Source و NGINX Plus به تنهایی درگیر این آسیب پذیری نیستند و در صورتیکه از NGINX LDAP reference استفاده کنید، این آسیب پذیری رو دارا هستید.

این پیاده سازی از LDAP برای احراز هویت کاربران برنامه هایی که توسط NGINX پروکسی شده اند استفاده می کند. این به عنوان یک Python daemon و پیکربندی NGINX مربوطه در https://github.com/nginxinc/nginx-ldap-auth منتشر شده و هدف و پیکربندی آن به طور مفصل در وبلاگ ما توضیح داده شده است.

در ادامه نیز راهکارهایی برای کاهش حملات برای کسانی که از این پیاده سازی استفاده کرده اند توضیح داده شده که می تونید از اینجا بخونید .