La recente scoperta di una vulnerabilità critica nel software di scansione open-source Nuclei di ProjectDiscovery ha destato l'attenzione nel mondo della sicurezza informatica. Questa vulnerabilità, identificata come CVE-2024-43405, permette potenzialmente agli aggressori di bypassare i controlli di firma e eseguire codice malevolo. Con un punteggio CVSS di 7.4 su 10, essa impatta tutte le versioni di Nuclei successive alla 3.0.0.

Dettagli della vulnerabilità

Il problema nasce da una discrepanza tra il processo di verifica della firma e il parser YAML, particolarmente nel modo in cui gestiscono i caratteri di nuova linea. Gli aggressori possono sfruttare questa discrepanza per iniettare contenuti malevoli in un template mantenendo una firma valida per la parte benigna. Questo permette di creare template che eseguono codice arbitrario, una minaccia significativa per la sicurezza dei sistemi.

Implicazioni e impatto

Nuclei, utilizzato per individuare vulnerabilità in applicazioni moderne, infrastrutture e piattaforme cloud, si basa su template YAML per inviare richieste specifiche. La vulnerabilità scoperta da Wiz, un'azienda di sicurezza cloud, è radicata nel processo di verifica delle firme dei template, un meccanismo fondamentale per garantire l'integrità dei template nel repository ufficiale.

Il successo di un attacco implica il bypass di questo controllo di verifica, consentendo agli aggressori di creare template malevoli che possono eseguire codice arbitrario e accedere a dati sensibili. Questo rappresenta un punto di fallimento critico, data la dipendenza dell'intero sistema di verifica sull'accuratezza di queste firme.

Miglioramenti e correzioni

Il problema è ulteriormente complicato dall'uso di espressioni regolari per la verifica delle firme, che possono essere aggirate inserendo un carattere " ". Questo carattere viene interpretato come interruzione di linea dal parser YAML ma non dall'espressione regolare, creando un'opportunità per bypassare la verifica. Inoltre, il processo di verifica esclude solo la prima linea di firma, lasciando le altre non verificate ma eseguibili.

ProjectDiscovery ha risolto il problema nella versione 3.3.2 di Nuclei, rilasciata il 4 settembre 2024. Tuttavia, la minaccia persiste quando le organizzazioni eseguono template non fidati o contribuiti dalla comunità senza convalida adeguata. Un attaccante potrebbe sfruttare questa vulnerabilità per eseguire comandi arbitrari, esfiltrare dati o compromettere sistemi.