Chrome وFirefox وSafari Patch 0.0.0.0 ثغرة أمنية • السجل

تتمتع جميع متصفحات الويب، بما في ذلك Microsoft Edge وGoogle Chrome، ومتصفحات WebKit مثل Apple’s Safari وMozilla’s Firefox، بمراقبة أمنية عمرها سنوات — متصفحات تعتمد على Chromium.

ويمكن استغلالها من قبل الأشخاص الخطأ للوصول إلى خدمات برمجية لا ينبغي لهم الوصول إليها. إنه يؤثر على المتصفحات المذكورة أعلاه على نظامي التشغيل macOS وLinux – وغيرهما – ولكن على الأقل ليس على نظام Windows.

قامت شركة تدعى Oligo Security بوضع علامة على الثغرة الأمنية هذا الشهر وأطلقت عليها اسم 0.0.0.0 Day لأنها تتضمن عنوان 0.0.0.0 IPv4. يبدو أن المهاجمين كانوا يستغلون هذا الخلل منذ أواخر العقد الأول من القرن الحادي والعشرين على الأقل – وفقًا لتقييم Mozilla Bugzilla خيط منذ تلك الحقبة، لا يزال مدرجًا على أنه مفتوح.

وفقًا لـ Oligo، تعهدت ثلاث مجموعات من المتصفحات بحظر الوصول إلى 0.0.0.0 وتنفيذ إجراءات التخفيف الخاصة بها لإغلاق ثغرة المضيف المحلي.

المشكلة بسيطة كما يلي: إذا قمت بفتح صفحة ويب ضارة على نظام تشغيل ضعيف في متصفح ضعيف، فسوف تطلق الصفحة طلبات إلى 0.0.0.0 ومنفذ من اختيارها. إذا كانت هناك خوادم أو خدمات أخرى تعمل محليًا على جهازك على ذلك المنفذ، فستذهب تلك الطلبات إليه.

إذا كان لديك خدمة تعمل على المنفذ 11223 على محطة عمل macOS أو Linux الخاصة بك وتفترض أنه لا يمكن لأحد الوصول إليها لأنها خلف جدار الحماية الخاص بك وأن متصفحك ذو الاسم الكبير يحظر الطلبات الخارجية للمضيف المحلي، خمن مرة أخرى. تقوم الصفحة الضارة التي تزورها بإرسال طلب 0.0.0.0:11223 إلى خدمتك.

إنها لقطة طويلة جدًا من حيث الاستغلال العملي – ولكنك لا ترغب في اكتشاف الطريقة الصعبة التي وصلت بها بعض المواقع إلى نقطة النهاية المحلية الخاصة بك عن طريق الحظ. في الواقع، إنه شيء سيحدث في عام 2024 وهو أمر مضحك جدًا.

يجب أن تكون آليات الأمان موجودة لمنع مواقع الويب الخارجية من الوصول إلى مضيفك المحلي. على وجه الخصوص، مشاركة الموارد عبر الأصل (CORS) المواصفات، ثم الأحدث الوصول إلى الشبكة الخاصة (PNA)يتم استخدامه من قبل المتصفحات للتمييز بين الشبكات العامة وغير العامة، ويعزز CORS عن طريق تقييد قدرة المواقع الخارجية على التواصل مع الخوادم على الشبكات الخاصة والأجهزة المضيفة.

ومع ذلك، تمكنت مجموعة oligo من تجاوز السلطة الوطنية الفلسطينية. أنشأ الباحثون خادم HTTP مزيفًا يعمل على المضيف المحلي 127.0.0.1 على المنفذ 8080 ثم تم الوصول إليه من موقع عام خارجي باستخدام JavaScript عن طريق إرسال طلب إلى 0.0.0.0:8080.

وقال آفي لوميلسكي، الباحث الأمني ​​في شركة Oligo: “هذا يعني أن مواقع الويب العامة يمكنها الوصول إلى أي منفذ مفتوح على مضيفك دون القدرة على رؤية الاستجابة”. ذكرت.

ردًا على ذلك، يقوم Chrome بذلك المجلد سيتم طرح الوصول إلى 0.0.0.0 تدريجيًا بواسطة Google بدءًا من Chromium 128 وانتهاءً بـ Chrome 133. فعلت أبل التغييرات لبرنامج WebKit مفتوح المصدر الذي يمنع الوصول إلى 0.0.0.0.

ليس لدى Mozilla حل فوري، ولا تطبق PNA في Firefox. وفقا لأولجيو، فعلت موزيلا يتغير جلب المواصفات (RFC) لحظر 0.0.0.0 بعد بيانه.

أرسل متحدث باسم موزيلا يسجل البيان التالي عبر البريد الإلكتروني:

وفقًا لأوليجو، فإن هذا البحث يقدم حجة قوية لصالح السلطة الوطنية الفلسطينية.

وكتب لوميلسكي: “حتى يتم نشر PNA بالكامل، يمكن لمواقع الويب العامة إرسال طلبات HTTP باستخدام JavaScript للوصول بنجاح إلى الخدمات على الشبكة المحلية”. “لتغيير ذلك، نحتاج إلى توحيد PNA، ونحتاج إلى متصفحات لتنفيذ PNA وفقًا لهذا المعيار.” ®