0.0.0.0 Day, una falla scoperta 18 anni fa ma che ancora fa paura

Una vulnerabilità nota da 18 anni, nota come "0.0.0.0 Day", consente a siti web dannosi di aggirare la sicurezza di Google Chrome, Mozilla Firefox e Apple Safari e di interagire con i servizi su una rete locale.

Il problema, però, riguarda solo i dispositivi Linux e macOS e non quelli Windows. I malintenzionati possono sfruttare questa falla per modificare le impostazioni da remoto, ottenere l'accesso non autorizzato a informazioni protette e, in alcuni casi, eseguire codice da remoto.

Nonostante sia stato segnalato nel 2006, 18 anni fa, questo problema rimane irrisolto su Chrome, Firefox e Safari, anche se Google, Mozilla e Apple hanno riconosciuto il problema e stanno lavorando per trovare una soluzione.

I ricercatori di Oligo Security riferiscono che diversi malintenzionati sfruttano la vulnerabilità come parte delle loro catene di attacco. Per esempio, Oligo Security ha identificato diversi casi in cui la vulnerabilità "0.0.0.0 Day" è stata usata nella campagna ShadowRay.

La vulnerabilità ha origine da meccanismi di sicurezza incoerenti tra i diversi browser e dalla mancanza di standardizzazione che consente ai siti web pubblici di comunicare con i servizi di rete locali utilizzando l'indirizzo IP "jolly" 0.0.0.0.

In genere, 0.0.0.0 rappresenta tutti gli indirizzi IP della macchina locale o tutte le interfacce di rete dell'host. Può essere usato come indirizzo segnaposto nelle richieste DHCP o interpretato come localhost (127.0.0.1) se usato in rete locale.

I siti web dannosi possono inviare richieste HTTP a 0.0.0.0 mirando a un servizio in locale sul PC dell'utente e, a causa della mancanza di una sicurezza coerente, queste richieste vengono spesso indirizzate al servizio e processate.

I meccanismi di protezione esistenti, spiega Oligo, come il Cross-Origin Resource Sharing (CORS) e il Private Network Access (PNA), non riescono a bloccare questa attività.

Fortunatamente, gli sviluppatori di browser stanno correndo ai ripari. Google ha deciso di intervenire su Chrome e bloccare l'accesso a 0.0.0.0 attraverso un rollout graduale che va dalla versione 128 (in arrivo) fino alla versione 133. Mozilla ha confermato di aver implementato una soluzione temporanea in Firefox, ma non sono state fornite date di rilascio.

Apple, infine, ha implementato controlli IP aggiuntivi su Safari tramite modifiche a WebKit e bloccato l'accesso a 0.0.0.0 sulla versione 18 che sarà introdotta con macOS Sequoia.