CVE-2021-22958

SSRF w Concrete CMS — ominięcie blokady localhost przez zapis dziesiętny IP

CVSS 9.8v3.1pub. 2021-10-07upd. 2024-11-21

W Concrete CMS w wersjach poniżej 8.5.5 odkryto podatność typu SSRF (Server-Side Request Forgery), która umożliwia atakującemu obejście zabezpieczeń blokujących dostęp do lokalnych usług. Atakujący może zmusić serwer do wykonywania żądań do adresów lokalnych, takich jak localhost, poprzez kodowanie adresu IP w notacji dziesiętnej.

▸ Pokaż oryginał (EN)

A Server-Side Request Forgery vulnerability was found in concrete5 < 8.5.5 that allowed a decimal notation encoded IP address to bypass the limitations in place for localhost allowing interaction with local services. Impact can vary depending on services exposed.CVSSv2.0 AV:A/AC:H/PR:H/UI:N/S:U/C:L/I:N/A:N

🤖 Analiza AI

Jak działa

Podatność polega na tym, że mechanizm walidacji adresów IP w Concrete CMS nie rozpoznaje poprawnie adresów zapisanych w notacji dziesiętnej (np. 2130706433 zamiast 127.0.0.1). Atakujący może przesłać tak zakodowany adres, który ominie wbudowane filtry blokujące odwołania do localhost. W rezultacie serwer wykonuje żądanie do wskazanego adresu lokalnego, co pozwala na interakcję z wewnętrznymi usługami niedostępnymi bezpośrednio z zewnątrz.

Skutki

Atakujący może uzyskać dostęp do wewnętrznych usług działających na serwerze lub w sieci lokalnej, w tym potencjalnie odczytać poufne dane lub wpłynąć na działanie tych usług. Rzeczywisty wpływ zależy od rodzaju i konfiguracji usług dostępnych lokalnie.

Mitygacja

Należy zaktualizować Concrete CMS do wersji 8.5.5 lub nowszej, w której podatność została usunięta. Szczegóły patcha dostępne są w notatkach wydania producenta pod adresem: https://documentation.concretecms.org/developers/introduction/version-history/855-release-notes

Kogo dotyczy

Concrete CMS (concrete5) w wersjach poniżej 8.5.5

Uwagi

Podatność została zgłoszona za pośrednictwem platformy HackerOne (raport nr 863221). Pomimo oceny CVSS 9.8 (CRITICAL) w wektorze CVSSv3.1, sam producent w opisie wskazuje CVSSv2.0 z wektorem AV:A (sieć lokalna), co sugeruje, że warunki eksploatacji mogą być bardziej ograniczone niż wynikałoby to z oceny krytycznej.