SSRF Schwachstelle in libuv: Windows und Linux betroffen

Februar 2024: in der libuv Bibliothek wurde eine eine Server-Side Request Forgery (SSRF) Schwachstelle ( CVE-2024-24806 , CVSS 9.8/10) gefunden, die Windows und Linux Systeme betrifft. libuv ist eine beliebte Open-Source-Bibliothek, die für asynchrone I/O-Operationen über verschiedene Plattformen hinweg verwendet wird. Die Schwachstelle entsteht durch die unsachgemäße Behandlung von langen Hostnamen innerhalb der Funktionen uv_getaddrinfo und uv__idna_toascii.

Die betroffene Funktion ist uv_getaddrinfo, und die anfällige Variable ist hostname_ascii, die auf 256 Bytes begrenzt ist. Das Problem entsteht, wenn ein Hostname 256 Zeichen überschreitet und ohne ein abschließendes Nullbyte abgeschnitten wird. Angreifer können diese Schwachstelle ausnutzen, um:

• Zugriff auf interne Ressourcen zu erlangen: Wenn eine Anwendung, die libuv verwendet, benutzerkontrollierte Daten (wie Benutzernamen) verarbeitet, die überlange Hostnamen enthalten, könnte der Angreifer in der Lage sein, den Hostnamen so zu manipulieren, dass er auf interne Ressourcen wie Datenbanken oder andere Server im Netzwerk zugreifen kann und dabei Sicherheitsbeschränkungen umgeht.
• Unbeabsichtigte Aktionen auszuführen: Durch das Erstellen spezifischer Payloads könnten Angreifer die anfällige Anwendung potenziell dazu bringen, unbeabsichtigte Aktionen wie das Lesen von Dateien oder das Ausführen von Befehlen auf dem Server durchzuführen.

Dieses Problem wurde in der Veröffentlichungsversion 1.48.0 behoben, und Benutzer werden dringend dazu aufgefordert, ein Upgrade durchzuführen.

Die Auswirkungen dieser Schwachstelle werden aufgrund des Potenzials für Angreifer, unbefugten Zugang zu sensiblen Informationen zu erlangen oder interne Systeme zu stören, als kritisch eingestuft.