Opraven vážný bezpečnostní problém

14.5.2007 19:56 | Přečteno: 2282× | Abíčko

Dominik Joe Pantůček mě upozornil na závažnou díru v Abíčku. Sice jsem se o ni doslechl už dříve, ale teprve teď jsem si dokázal konkrétně představit, jak by se dala zneužít. S Joem jsme pak našli algoritmus, který by měl být dostatečně odolný.

Konkrétně šlo o to, že do parametru SRC bylo možno vložit speciální URL na provedení nějaké akce. Například byste do blogu přidali obrázek, jehož adresa by byla rovna odeslání komentáře s textem Leoš tam má díru. Každý, kdo by si blog otevřel, by okamžitě k němu přidal tento komentář. Nebo by šlo dělat skrytější akce, například hlasování v anketě, hodnocení blogu či smazání nového článku (pokud by si blog otevřel admin).

Teď jsem měl několik možností, jak situaci vyřešit. Například úplně zakázat obrázky, nebo povolit jen obrázky umístěné na abclinuxu v bezpečných adresářích. Vzhledem k možnosti redirektu totiž nemělo smysl považovat jakákoliv URL mimo abíčko za bezpečná. Ale nechtěl jsem omezovat uživatele a proto jsem se vydal jinou cestou - kontrolovat všechny akce, zda jsou volány tak, jak by měly být volány.

S Joem jsme došli k názoru, že útok na abíčko by musel jít jen přes GETové linky, tudíž první fronta obrany je ověření, zda akce přišla jako POST. Nicméně existuje poměrně dost akcí, které nejsou ve formuláři, ale jako odkazy. Například zmražení diskuse nebo hodnocení článku. Pro ně jsem musel vytvořit koncept ticketu, který je přiřazen ke každému uživateli. Pokud tedy akce může přijít jako GET, kontroluji, zda je vyplněn správný ticket. Ten je tajný a útočník se k němu nemůže dostat, leda chybou uživatele. A i pak by šel udělat útok na konkrétního uživatele, ale už ne obecný na všechny uživatele. Další obranou je kontrola referera. Ověřuji, zda předchozí stránka byla formulář či nikoliv.

Abíčko je velmi, ale opravdu velmi rozsáhlé a proto obsahuje spousty různých akcí a situací. Co platí pro jednu akci, pro druhou neprojde. Takže metoda ActionProtector.ensureContract() má čtyři přepínače, které určují, co se má kontrolovat. Využitých kombinací je většina.

Závěrem chci poděkovat Joeovi za pomoc. Pokud narazíte na další problém, prosím dejte mi vědět, pokusím se jej opravit.

PS. dostanete-li chybu Chybné volání akce, přečtěte si FAQ. Možná je chyba na vaší straně.

       

Komentáře

[sssssssss]

a pak se divte, že vyhrálo ubuntu v anketě, když jste tu měli takovou díru!!!

[jyrki]

Tak tim se vysvetluje i dobre umisteni Archu, Gentoo a Mandrivy

[Martin Stiborský]

Jeden dotaz, co někoho vede k tomu, aby takovému zapisku dal špatné hodnocení ? Za co ?

[Luboš Doležel (Doli)]

To už je tak trochu klasika. Podívej se na předchozí zápisky o vylepšeních Ábíčka, i tam se negativní hlasy najdou

[Martin Stiborský]

Vím, jenom jsem se chtěl zeptat zda mi někdo poví důvod, jediné co mě napadlo byl sloh ... který může být vnímán subjektivně, ač mi se zdá v pořádku.

[happy barney]

možno niekto, komu prestala fungovať zábavka

popr nejaký perfekcionista, ktorému vadí, že tam vôbec nejaká chyba bola ...

[thingie]

No a proč ne. Třeba se mi nelíbí jak to Leoš napsal. Proč ne?

[Max]

Mno, asi to třeba naštvala toho šprýmaře, co to využil pro ubuntu :D(no řekněte, tolik hlasů, to nejni normální :D)
Zdar Max

[jyrki]

Napada me preklik. Spatne fungujici mys, halucinace - clovek si mysli ze dela neco jineho...pak me jeste napada na tomto serveru nemozna zlomyslnost. Osobne davam "dobre"

[Lu-Tze]

Prostě se mi nelíbíl. Řekni ty, proč se ti tak strašně libí, když je pro tebe tak nepochopitelné, že někdo tvůj názor na něj nesdílí. Mimochodem už po prvním odstavci jsem tušil, že nebudu hodnotit kladně.

[Martin Stiborský]

Nevím jak jsi přišel na to že je to pro mě nepochopitelné, já jenom chtěl vědět za co takové hodnocení ...
Ok, pro každého asi není jediné měřítko pro udělení dobrého hodnocnení to, že pan Literák má snahu vylepšovat ábíčko.
Neměl bys něco konkrétního co se ti nelíbilo ??
Mimochodem, je pěkná ptákovina to řešit, ale přece jenom, když už ses obtěžoval na mě reagovat ...

[Lu-Tze]

Přišel jsem na to tak, že jsi napsal ten komentář. S tou ptákovinou jsi začal ale ty

To já jsem ale nehodnotil snahu vylepšovat abcl, já jsem hodnotil jen zápisek. A hned v prvním odstavci mě autor naštval použitím slova algoritmus. Nemám rád, když se vznešená slova používají pro každou blbinu (ikdyž je to třeba formálně správně). Když už jsme u toho tak, jsem se trochu podivil i nad použitím slova sofistikovaný ve vysvětlení té chyby. Je to balast, do vysvětlení nic takového nepatří. "Obsahuje sofistikovanou ochranu" nebo "vznikne číslo, které se zpracuje složitou matematickou funkcí (na bázi logaritmu)". Přispívají ta slova nějak k ozřejmění problému?

Snaha vylepšovat tenhle web je jistě hodna ocenění, ale představuju si trochu jiné ocenění než dobré hodnocení blogu. A taky je to oprava chyby, ne nová funkce, po které všichni prahneme Kdyby ti každou hodinu na deset minut vypadl obraz v televizi kvůli nějaké chybě u provozovatele stanice, taky bys posílal děkovné dopisy až by to opravili? Jestliže něco závisí jen na nadšenectví několika málo jednotlivců, tak to nemůže mít tuhý kořínek a dříve nebo později to shnije. To se týká nejen tohohle webu ale i třeba samotného linuxu. I na to je třeba pamatovat při hledání správné formy ocenění.

[vencour]

Třeba nemá rád 100% čistotu, hodnotu atd.? Pak snad ale může ještě nehlasovat.

[abr]

Gratuluji k opraveni!
Co tak udelat rozhovor s Joem? Dlouho jsem o nem neslysel...

[Jan Grmela]

Nojo, CSRF je dost protivný problém a bohužel se mi zdá, že jen málokterá webová aplikace dělaná na míru má tuhle záležitost ošetřenou. To s tím ticketem je IMHO nejrozumnější řešení...ostatně žádné jiné, které by zaručovalo stejnou úroveň zabezpečení mě nenapadá

[petr_p]

Á referery. Když jsem včera uviděl tu chybovou hlášku, tak jsem se zalekl, že máte něco rozbitého. Pak jsem pojal podezření na kešovaní a ke konci jsem byl ochotný připustit, že se kontroluje stahovaní reklam. Nakonec jsem objevil, že na vině je podvrhnutý referer.

Aspoň, že se vše vysvětlilo ;0

[Jan Grmela]

To je tak, když chce být někdo anonymní

[Petr Tomášek]

a) a nebylo by lepší, kdyby uživatel nemohl vkládat „speciální URL do parametru SRC“? (Např. kdyby se namísto HTML značek používala nějaká wiki-syntax a obrázky by byly omezeny jen na ty, které člověk přímo na server nahrál...)

b) trošku mi přijde jako blbárna, že se zkouší REFERER i tajný kód skrytý ve formuláři...