Lỗ hổng trình duyệt 18 năm tuổi ảnh hưởng đến các thiết bị MacOS và Linux

Các nhà nghiên cứu an ninh mạng đã phát hiện ra một "0.0.0.0 Day" mới tác động đến tất cả các trình duyệt web chính mà các trang web độc hại có thể lợi dụng để xâm phạm mạng cục bộ.

Nhà nghiên cứu Avi Lumelsky cho biết, lỗ hổng nghiêm trọng này "phơi bày một lỗ hổng cơ bản trong cách trình duyệt xử lý các yêu cầu mạng, có khả năng cấp cho những kẻ tấn công độc hại quyền truy cập vào các dịch vụ nhạy cảm đang chạy trên các thiết bị cục bộ".

Chuyên gia bảo mật cho biết tác động của lỗ hổng này rất sâu rộng và nó bắt nguồn từ việc triển khai không nhất quán các cơ chế bảo mật và thiếu chuẩn hóa trên các trình duyệt khác nhau.

Do đó, một địa chỉ IP có vẻ vô hại như 0.0.0.0 có thể bị lợi dụng để khai thác các dịch vụ cục bộ, dẫn đến việc truy cập trái phép và thực thi mã từ xa bởi những kẻ tấn công bên ngoài mạng. Lỗ hổng này được cho là đã tồn tại từ năm 2006.

Ngày 0.0.0.0 tác động đến Google Chrome/Chromium, Mozilla Firefox và Apple Safari, tất cả đều cho phép các trang web bên ngoài giao tiếp với phần mềm chạy cục bộ trên macOS và Linux. Nó không ảnh hưởng đến các thiết bị Windows vì Microsoft chặn địa chỉ IP ở cấp hệ điều hành.

Đặc biệt, chuyên gia phát hiện ra rằng các trang web công cộng sử dụng tên miền có đuôi ".com" có thể giao tiếp với các dịch vụ chạy trên mạng cục bộ và thực thi mã tùy ý trên máy chủ của khách truy cập bằng cách sử dụng địa chỉ 0.0.0.0 thay vì localhost/127.0.0.1.

Đây cũng là một cách bỏ qua Private Network Access (PNA), được thiết kế để cấm các trang web công cộng truy cập trực tiếp vào các điểm cuối nằm trong các mạng riêng.

Bất kỳ ứng dụng nào chạy trên máy chủ cục bộ và có thể truy cập qua 0.0.0.0 đều có khả năng bị thực thi mã từ xa, bao gồm cả các phiên bản Selenium Grid cục bộ bằng cách gửi yêu cầu POST đến 0.0.0[.]0:4444 với một tải trọng được tạo thủ công.

Nói cách khác, vấn đề này đơn giản như một trang web độc hại gửi yêu cầu đến 0.0.0.0 và một cổng do trang web đó chọn, sau đó có thể được xử lý bởi các dịch vụ chạy cục bộ trên cùng cổng đó, dẫn đến hậu quả không mong muốn.

Để ứng phó với những phát hiện vào tháng 4 năm 2024, các trình duyệt web dự kiến ​​sẽ chặn hoàn toàn quyền truy cập vào 0.0.0.0, do đó không khuyến khích truy cập trực tiếp vào các điểm cuối mạng riêng từ các trang web công cộng.

 "Khi các dịch vụ sử dụng máy chủ cục bộ, chúng giả định một môi trường bị hạn chế", Lumelsky cho biết. "Giả định này, có thể (như trong trường hợp lỗ hổng này) bị lỗi, dẫn đến việc triển khai máy chủ không an toàn".

"Bằng cách sử dụng 0.0.0.0 cùng với chế độ 'no-cors', kẻ tấn công có thể sử dụng các miền công cộng để tấn công các dịch vụ chạy trên máy chủ cục bộ và thậm chí có được quyền thực thi mã tùy ý (RCE), tất cả đều sử dụng một yêu cầu HTTP duy nhất".

Hương – Theo TheHackerNews