abraxas/ats-redirect-zero-netApache Traffic Server 10.2.0 - उच्च - रिमोट - SSRF - रीडायरेक्ट 0.0.0.0/8
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · ats-redirect-zero-net
वर्ग: SSRF पहुँच: रिमोट
Apache Traffic Server 10.2.0 (b1df7334) - Apache Software Foundation
redirect.actions डिफ़ॉल्ट routable:follow 0.0.0.0/8 (INADDR_ANY को छोड़कर) को FOLLOW के रूप में वर्गीकृत करता है। लूपबैक केवल 127.0.0.0/8 और ::1 है। डिफ़ॉल्ट CONNECT dest deny और ESI IncludeUrlValidator पहले से ही 0.0.0.0/8 को अस्वीकार करते हैं। Follow-redirect इसे फिर से खोल देता है।
डिफ़ॉल्ट number_of_redirections 0 है, इसलिए जब तक follow चालू न हो, मैप का मूल्यांकन नहीं होता। एक लोडेड प्लगइन जो TSHttpTxnRedirectUrlSet कॉल करता है, काउंटर 0 होने पर भी एक हॉप को बाध्य करता है (CVE-2026-58189 काउंटर रीसेट बंद है)।
| ID | अभी तक कोई CVE नहीं |
| वर्ग | SSRF (follow-redirect 0.0.0.0/8 को चूक जाता है) |
| पहुँच | रिमोट (follow चालू होने के बाद ओरिजिन Location) |
| CWE | CWE-918 |
| CVSS | उच्च: 8.6 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N |
| उत्पाद | Apache Traffic Server |
| प्रभावित | 10.2.0 (b1df7334b39a878971c376da849e8da4984918b6) redirect.actions routable fill |
| प्रमाणीकरण | कोई नहीं। Follow चालू होना चाहिए (लैब में number_of_redirections=1)। |
| लाइसेंस | GNU Affero GPL v3.0 |
| लैब | केवल 127.0.0.1:18790 |
मैंने सार्वजनिक टैग 10.2.0 peel b1df7334 को पिन किया। लैब लूपबैक पर सोर्स-बिल्ट ats-10.2.0-lab:local रिवर्स प्रॉक्सी है। लूपबैक RETURN। 0.0.0.0 400। 0.0.0.1 FOLLOW। follow हॉप पर रीमैप छोड़ दिया गया।
number_of_redirections=1 के बाद (या प्लगइन TSHttpTxnRedirectUrlSet के बाद) ATS से Location: http://0.0.0.1/ का पालन करवाएँ। Linux पर, 0.0.0.1 स्थानीय है।
| विधि | सिंक | विशेषाधिकार |
|---|---|---|
अनऑथ GET; ओरिजिन 302 Location: http://0.0.0.1:18080/w के साथ number_of_redirections=1 | parse_redirect_actions ROUTABLE fill (HttpConfig.cc:1782-1787); OSDNSLookup action map | रीकॉन / SSRF (लैब-प्रमाणित): ATS ROUTABLE के रूप में पालन करता है। क्लाइंट बॉडी ATS-REDIRECT-ZERO-NET-WITNESS। follow हॉप पर रीमैप छोड़ दिया गया। |
वही हॉप; Authorization / Cookie कॉपी किए गए | HttpSM::redirect_request | अखंडता (अनुमानित): वे हेडर follow हॉप पर हटाए नहीं जाते। राइट के रूप में प्रयोग नहीं किया गया। |
IPv4-मैप्ड ::ffff:0:0/96 | ::/0 का वही fill | रीकॉन (अनुमानित): CONNECT dest deny का सहोदर। प्रयोग नहीं किया गया। |
लैब-प्रमाणित बनाम अनुमानित: 0.0.0.1 का पालन, लूपबैक RETURN, routable FOLLOW, INADDR_ANY 400 लैब हैं। IPv4-मैप्ड और क्रेडेंशियल फ़ॉरवर्ड अनुमानित हैं।
आवश्यक: redirect.actions routable:follow (कंपाइल्ड डिफ़ॉल्ट) और number_of_redirections > 0, या एक प्लगइन जो रीडायरेक्ट URL सेट करता है। डिफ़ॉल्ट काउंटर 0 है।
| सतह | लैब |
|---|---|
लूपबैक 127.0.0.1 | RETURN। क्लाइंट ने कभी LOOPBACK-ONLY-SECRET नहीं देखा। 302 बना रहा। |
0.0.0.0 INADDR_ANY | action map से पहले 400 |
डिफ़ॉल्ट number_of_redirections=0 | routable:follow का मूल्यांकन नहीं हुआ |
RFC1918 / CGNAT / लिंक-लोकल / ::1 | DEFAULT fill के माध्यम से RETURN |
CONNECT dest deny 0.0.0.0/8 | पहले से ही डिफ़ॉल्ट ip_allow.yaml में |
ESI include validator 0.0.0.0/8 | पहले से ही निजी (CVE-2026-58178) |
| प्लगइन रीडायरेक्ट काउंटर रीसेट | बंद (CVE-2026-58189) |
CVE-2026-58189 नहीं। CVE-2026-58178 नहीं। वे रेंज CONNECT और ESI पर नामित थीं। Follow-redirect को वे नहीं मिलीं।
python3 ats-redirect-zero-net-Abraxas-Labs.py
या
cd lab
./run.sh
Loopback 127.0.0.1:18790. Compose प्रोजेक्ट ats-redirect-zero-net. इमेज ats-10.2.0-lab:local. विटनेस ATS-REDIRECT-ZERO-NET-WITNESS. अंतिम पंक्ति:
SUCCESS ats-redirect-zero-net follow-0.0.0.1=yes loopback-return=yes routable-follow=yes inaddr-any=400 remap_required=1 ATS-REDIRECT-ZERO-NET-WITNESS
0.0.0.0/8 और IPv4-मैप्ड ::ffff:0:0/96 को उसी तरह चिह्नित करें जैसे डिफ़ॉल्ट CONNECT dest deny और ESI IncludeUrlValidator पहले से करते हैं। लूपबैक केवल 127/8 नहीं है। ats_is_ip_any द्वारा 0.0.0.0 को अस्वीकार करना पर्याप्त नहीं है।
तब तक, number_of_redirections को 0 पर छोड़ दें, या redirect.actions सेट करें ताकि routable RETURN हो। एक प्लगइन TSHttpTxnRedirectUrlSet अभी भी एक हॉप को बाध्य करता है।
b1df7334b39a878971c376da849e8da4984918b6)src/proxy/http/HttpConfig.cc parse_redirect_actionssrc/records/RecordsConfig.cc number_of_redirections / redirect.actionssrc/api/InkAPI.cc TSHttpTxnRedirectUrlSet एक-हॉप बंपconfigs/ip_allow.yaml.defaultIncludeUrlValidator 0.0.0.0/8 निजी (CVE-2026-58178)