Correção de vulnerabilidades de segurança na implementação de referência LDAP do NGINX

Liam CrillyDiretor Sênior de Gestão de Produtos

Em 9 de abril de 2022, vulnerabilidades de segurança na implementação de referência do NGINX LDAP foram divulgadas publicamente. Determinamos que apenas a implementação de referência foi afetada. NGINX Open Source e NGINX Plus não foram afetados, e nenhuma ação corretiva será necessária se você não usar a implementação de referência.

A implementação de referência de LDAP do NGINX usa o Lightweight Directory Access Protocol (LDAP) para autenticar usuários de aplicações que passam por proxy do NGINX. Ela é publicada como um daemon Python e uma configuração relacionada do NGINX em https://github.com/nginxinc/nginx-ldap-auth, e sua finalidade e configuração são descritas em detalhes em nosso blog.

As implantações da implementação de referência de LDAP são afetadas pelas vulnerabilidades caso qualquer uma das condições a seguir se aplique. Abaixo, discutimos essas condições em mais detalhes e explicamos como mitigá-las:

1. Parâmetros de linha de comando são usados para configurar o daemon Python
2. Há parâmetros de configuração opcionais que não são utilizados
3. A autenticação LDAP depende da associação a um grupo específico

Observação: A implementação de referência do LDAP é publicada como uma implementação de referência e descreve o funcionamento da integração e todos os componentes necessários para verificá-la. Ela não é uma solução LDAP pronta para uso em produção. Por exemplo, o nome de usuário e a senha usados na página de login de exemplo não são criptografados, e os avisos de segurança destacam esse fato.

Condição de mitigação 1: parâmetros de linha de comando são usados para configurar o daemon Python

A principal maneira de configurar a implementação de referência do LDAP é por meio de várias diretivas proxy_set_header, conforme detalhado na configuração de exemplo e na documentação. No entanto, os parâmetros de configuração também podem ser definidos na linha de comando que inicializa o daemon Python (nginx-ldap-auth-daemon.py).

Quando os parâmetros de configuração são especificados na linha de comando, um invasor pode substituir alguns ou todos eles enviando cabeçalhos de solicitação HTTP especialmente elaborados. Para evitar isso, certifique-se de que todos os cabeçalhos de solicitação desnecessários sejam ignorados durante a autenticação adicionando a seguinte configuração ao bloco location = /auth-proxy na configuração do NGINX (nginx-ldap-auth.conf no repositório).

location = /auth-proxy {
    # ...
    proxy_pass_request_headers off;
    proxy_set_header Authorization $http_authorization; # If using Basic auth
    # ...
}

Condição de mitigação 2: parâmetros de configuração opcionais não utilizados

Assim como na Condição 1, um invasor pode enviar cabeçalhos de solicitação HTTP especialmente elaborados para substituir determinados parâmetros de configuração, caso eles não tenham sido definidos na configuração. Por exemplo, o modelo de pesquisa LDAP pode ser substituído se não estiver explicitamente definido na configuração. A proteção é feita da mesma forma que na Condição 1, adicionando a seguinte configuração ao bloco location = /auth-proxy na configuração do NGINX.

location = /auth-proxy {
    # ...
    proxy_pass_request_headers off;
    proxy_set_header Authorization $http_authorization; # If using Basic auth
    # ...
}

Condição de mitigação 3: é necessário pertencer a um grupo LDAP

O daemon Python não sanitiza suas entradas. Consequentemente, um invasor pode usar um cabeçalho de solicitação especialmente elaborado para contornar a verificação de associação a grupos (memberOf) e, assim, forçar a autenticação LDAP a ser bem-sucedida, mesmo que o usuário que está sendo autenticado não pertença aos grupos exigidos.

Para mitigar esse problema, certifique-se de que o daemon de backend que apresenta o formulário de login remova todos os caracteres especiais do campo de nome de usuário. Em particular, ele deve remover os caracteres de abertura e fechamento de parênteses – ( ) – e o sinal de igual (=), pois todos eles têm um significado especial para os servidores LDAP. O daemon de backend da implementação de referência do LDAP será atualizado dessa forma oportunamente.

Agradecimentos

Agradecemos a Lucas Verney, valodzka e @_Blue_hornet por chamarem a atenção para essas vulnerabilidades de segurança.

Sobre o autor

Liam CrillyDiretor Sênior de Gestão de Produtos

Mais publicações de Liam Crilly