Kütüphaneyi atlayıp bayrağı ele geçirebilen herkese sunulan ödüller
Mimarlarına göre, sunucu tarafı istek sahteciliği (SSRF) saldırılarını engellemek için tasarlanan yeni bir açık kaynak kitaplığı, Go geliştiricilerinin cephaneliğinde önemli bir boşluğu dolduruyor.
Go’nun yerel , tek satırlık açılan yerine geçen Safeurl, gelen HTTP isteklerini izin verme ve engelleme listelerine karşı doğrular ve ayrıca DNS yeniden bağlama saldırılarına karşı koruma sağlar.
Doyensec güvenlik mühendisleri ve Safeurl yaratıcıları Viktor Chuchurski ve Alessandro Cotto bir blog yazısında, “İstekleri ayrıştırma, doğrulama ve gönderme gibi tüm ağır işler kitaplık tarafından yapılır” dedi.
“Kütüphane, geliştiricilere ihtiyaç duyabilecekleri özelleştirmeleri ve filtreleme seçeneklerini sunarken, minimum yapılandırma ile kutudan çıktığı gibi çalışır. Geliştiriciler, uygulama güvenliği sorunlarını çözmek için savaşmak yerine, müşterilerine kaliteli özellikler sunmaya odaklanmakta özgür olmalıdır.”
SafeCURL ilhamı
Chuchurski ve Cotto, Go uygulamalarına, SafeCURL ve (aynı adlı ancak farklı şekilde büyük harfle yazılmış) SafeURL aracılığıyla diğer dillerde yazılmış benzerlerine sağlanan korumanın aynısını vermek istediklerini söylediler.
“Müşterilerimiz, olumsuz etkileri azaltmak için Go’ya özgü bir çözüm hakkında öneriler istiyorlardı. [SSRF] saldırılar, ”dedi çift günlük yudum. “Go için özel olarak yapılmış hiçbir şey yoktu, bu yüzden meydan okumayı üstlendik.”
En son geliştirici yığını teknoloji haberleri ve analizleri hakkında daha fazlasını okuyun
SSRF istismarları, sunucu tarafı uygulamalarının istenmeyen konumlara istekte bulunmaya teşvik edilmesini içerir.
Chuchurski ve Cotto, “Modern web uygulamalarının HTTP istekleri yapması yaygın bir durumdur, ancak güvenli bir uygulama oldukça zor olabilir,” diye devam etti.
“Kütüphanemizin bu ihtiyacı karşılayacağını umuyoruz. Kullanım kolaylığı göz önünde bulundurularak tasarlandı ve uygulamaları, açılır varsayılan ayarlarıyla kolayca koruyor.”
Dikkatli olmak yanlış
Safeurl, RFC1918’de belirtildiği gibi, özel veya ayrılmış IP adreslerine giden tüm trafiği varsayılan olarak engeller.
Blog yazısı, “Günümüzün sürekli genişleyen tehdit ortamında bir engelleme listesini güncellemekle uğraşmak yerine, açıkça izin verilen hedefleri belirlemek daha kolay (ve daha güvenli),” açıklamasını yaptı.
safeurl.Config, safeurl.Client’ı , , , , , , , ve olarak ayarlamak için özelleştirmek için kullanılabilir.
Açık kaynak kitaplığı, HTTP yönlendirmelerinin, çerez kavanoz ayarlarının ve istek zaman aşımlarının yapılandırılmasına olanak tanır.
İki veya daha fazla ardışık HTTP isteği arasındaki DNS yanıtlarındaki uyumsuzluklardan yararlanan DNS yeniden bağlama saldırıları, Go’nun net/dialer paketi ve kancası aracılığıyla HTTP isteği yapmak için kullanılan IP adresinde izin verme/engelleme listesi doğrulamaları gerçekleştirilerek püskürtülür.
Yağma, kapmak için gadget’lar
Araştırmacılar, başarılı olan herkese sunulan “havalı ve bazı harika araçlarla” Safeurl için bir Bayrağı Yakala (CTF) yarışması oluşturdular.
Chuchurski ve Cotto, “Kodumuza güveniyoruz ve CTF bu güveni test ediyor” dedi. “SSRF güvenlik açığı olan basit bir web sunucusu.
İşin ilginç tarafı, güvenlik açığının tetiklendiği nokta ‘safeurl’ kitaplığı tarafından korunuyor. Herhangi biri bir geçiş yolu bulabilirse, daha fazla talimat bulacaktır.”
BUNLARI DA SEVEBİLİRSİNİZ Cacti’de kritik IP sahtekarlığı hatası düzeltildi