CVE-2021-4226

RSFirewall – bypass identyfikacji IP przez nagłówki HTTP

CVSS 9.8v3.1pub. 2022-12-15upd. 2025-05-27

RSFirewall, wtyczka firewallowa dla Joomla, posiada krytyczną podatność umożliwiającą obejście mechanizmu identyfikacji adresu IP atakującego. Błąd pozwala nieuprawnionemu atakującemu zdalnie ominąć zabezpieczenia zapory bez żadnego uwierzytelnienia.

▸ Pokaż oryginał (EN)

RSFirewall tries to identify the original IP address by looking at different HTTP headers. A bypass is possible due to the way it is implemented.

🤖 Analiza AI

Jak działa

RSFirewall identyfikuje oryginalny adres IP klienta na podstawie analizy różnych nagłówków HTTP (np. X-Forwarded-For, X-Real-IP lub podobnych). Implementacja tego mechanizmu jest podatna na manipulację — atakujący może podstawić fałszywą wartość w odpowiednim nagłówku HTTP, powodując, że firewall będzie traktował żądanie jako pochodzące z zaufanego lub dozwolonego adresu IP. Podatność klasyfikowana jest jako brak weryfikacji integralności danych wejściowych (CWE-345), co umożliwia skuteczny bypass reguł ochronnych.

Skutki

Atakujący może całkowicie ominąć reguły blokujące zdefiniowane w RSFirewall, uzyskując potencjalnie nieuprawniony dostęp do chronionych zasobów aplikacji Joomla. W przypadku eskalacji może to prowadzić do naruszenia poufności, integralności i dostępności danych (CVSS C:H/I:H/A:H).