ช่องโหว่ยกระดับสิทธิ์บนเซิร์ฟเวอร์คลาวด์จากการใช้ประโยชน์จากการแทรกเฮดเดอร์ (CRLF) ในไลบรารี Axios
(github.com/axios)ช่องโหว่นี้เป็นบั๊กวิกฤตที่ทำให้แฮกเกอร์สามารถยึดสิทธิ์ผู้ดูแลระบบของเซิร์ฟเวอร์คลาวด์อย่าง AWS ได้
ลำดับการโจมตี (Chain): การโจมตีนี้ไม่ได้เกิดจาก Axios เพียงอย่างเดียว หากมีไลบรารีอื่นที่ติดตั้งอยู่ในโปรเจกต์ของคุณมีช่องโหว่ (prototype pollution) แฮกเกอร์สามารถใช้สิ่งนั้นเป็นสะพานแล้วนำ Axios มาใช้เป็นอุปกรณ์โจมตี (Gadget) ได้
การแทรกเฮดเดอร์และการลักลอบส่งคำขอ (Request Smuggling): หากแฮกเกอร์ใช้ประโยชน์จากอักขระขึ้นบรรทัดใหม่พิเศษ (\r\n) ก็สามารถแอบซ่อนคำขออันตรายที่สร้างขึ้นเองให้ถูกส่งไปพร้อมกันต่อท้ายโค้ดคำขอ Axios ที่นักพัฒนาเขียนไว้อย่างปลอดภัยได้ (เกิดจาก Axios กรองอักขระขึ้นบรรทัดใหม่ในเฮดเดอร์ได้ไม่เหมาะสม)
ผลลัพธ์ที่ร้ายแรง: แฮกเกอร์สามารถส่งคำขอที่ซ่อนอยู่นี้ไปยังเครือข่ายภายในของคลาวด์ (บริการเมทาดาทาของ AWS) เพื่อหลบเลี่ยงกลไกความปลอดภัยของคลาวด์ (IMDSv2) และขโมยคีย์ยืนยันตัวตน (ข้อมูลรับรอง IAM) ที่สามารถใช้ควบคุมบัญชีคลาวด์ทั้งหมดได้
2 ความคิดเห็น
axios ที่เคยใช้งานได้เสถียรมานานโดยแทบไม่มีการอัปเดต ไม่รู้ว่านี่เป็นการอัปเดตรอบที่เท่าไหร่แล้ว... ฝั่ง lodash เองก็เคยมีการอัปเดตเหมือนกัน...
*ความรุนแรง: วิกฤต (CVSS 9.9)
**เวอร์ชันที่ได้รับผลกระทบ: ทุกเวอร์ชัน (v0.x - v1.x)