Schwachstelle zur Übernahme von Cloud-Server-Berechtigungen durch Ausnutzung von Header-Injection (CRLF) in der Axios-Bibliothek

Diese Schwachstelle ist ein kritischer Bug, der es Angreifern ermöglicht, Administratorrechte auf Cloud-Servern wie AWS zu übernehmen.

Ablauf der Angriffskette (Chain): Dieser Angriff tritt nicht allein durch Axios auf. Wenn in einer anderen in eurem Projekt installierten Bibliothek eine Schwachstelle (Prototype Pollution) vorhanden ist, können Angreifer diese als Sprungbrett nutzen und Axios wie ein Werkzeug (Gadget) missbrauchen.

Header-Injection und Request Smuggling: Wenn Angreifer spezielle Zeilenumbruchzeichen (\r\n) ausnutzen, können sie hinter einem vom Entwickler geschriebenen sicheren Axios-Request heimlich einen bösartigen Request verstecken und mitsenden. (Das geschieht, weil Axios Zeilenumbruchzeichen in Headern nicht korrekt filtert.)

Kritische Folgen: Angreifer können diesen versteckten Request an das interne Cloud-Netzwerk (AWS-Metadatenservice) senden, dadurch die Cloud-Schutzmechanismen (IMDSv2) umgehen und Authentifizierungsschlüssel (IAM-Anmeldedaten) stehlen, mit denen sich das gesamte Cloud-Konto kontrollieren lässt.

[preserde]

Axios lief eine ganze Weile ohne Updates stabil, und ich weiß gar nicht, das wievielte Update das jetzt schon ist ... Auch lodash wurde damals aktualisiert ...

[dowha]

*Schweregrad: Kritisch (CVSS 9.9)
**Betroffene Versionen: Alle Versionen (v0.x - v1.x)