Sårbarhed ved genbinding af DNS i MITMWEB-interface muliggør ekstern udførelse af Python-script

MITMWEB-interface. MITMProxy

Det CVE-2018-14505 -mærket blev givet til en sårbarhed, der blev opdaget i Mitmproxy's webbaserede brugergrænseflade, mitmweb. Sårbarheden blev oprindeligt stødt på af Josef Gajdusek i Prag, der beskrev, at manglen på beskyttelse mod DNS-genbinding i mitmweb-grænsefladen kunne føre til ondsindede websteder, der fik adgang til data eller eksternt kørte vilkårlige Python-scripts på filsystemet ved at indstille scripts-konfigurationsindstillingen.

Et bevis på koncept blev også leveret af Gajdusek for at fremvise en mulig udnyttelse.

Dette bevis for konceptet var baseret på et andet nært beslægtet generisk bevis for konceptet fra Travis Ormandy.

Det ser ud til, at den bedste måde at afbøde dette på med det samme er at gøre værtsnavnet til at matche '(localhost | d + . D + . D + . D +)', så brugerne kan undgå DNS-genbinding af sårbarhed, mens de er i stand til at få adgang mitmweb fra andre værter også. En mere permanent løsning ville medføre vedtagelse af en jupyter-stil løsning, hvor webgrænsefladen ville være adgangskodebeskyttet og ville overføre et adgangstoken til webbrowseren. Åbent opkald. Host header-baseret hvidliste kan også implementeres for at opnå den samme effekt, der tillader localhost eller IP-adresse adgang som standard. En understøttelse af ipv6 kode for at forbedre beskyttelsen mod DNS-genindbinding blev skrevet af mitmproxy-udvikleren og ph.d.-studerende Maximilian Hils som svar på registreringen af ​​denne sårbarhed hos CVE MITER.