enlace a la interfaz de bucle de retorno lo suficientemente seguro

2

Tengo una aplicación no segura y desactualizada que se ejecuta dentro de un contenedor de la ventana acoplable en la interfaz de bucle invertido del dispositivo host al que solo se accede a otras aplicaciones que se ejecutan en ese dispositivo, tengo razón al pensar que esto proporcionaría un nivel adecuado de seguridad, por lo que ¿Que nada externo a la caja podría acceder a la aplicación o saber que está ahí? Mi idea es que necesitarías acceso al dispositivo antes de poder acceder a la aplicación, en cuyo momento tienes más problemas.

De mi interpretación de esta publicación puede ser posible enviar ciegamente solicitudes a ella sin recibir una respuesta si estaba directamente conectado al dispositivo (o tal vez no como un dispositivo de bucle de retorno no tiene una dirección mac) pero ese es el único inconveniente que he encontrado al confiar en la interfaz de bucle de retorno para asegurar algo y como es una aplicación HTTP que lo haría ejecutar sobre TCP esta publicación parece sugerir que incluso eso no es posible.

    
pregunta Snipzwolf 22.05.2017 - 13:49
fuente

1 respuesta

1

En general, el enlace a localhost puede proporcionar un nivel de seguridad en el sentido de que la aplicación no es generalmente accesible desde otros procesos a menos que se ejecuten en el mismo sistema.

La cantidad de seguridad práctica que le proporciona depende de la seguridad de cualquier otra aplicación que se ejecute en el host.

Por ejemplo, una vulnerabilidad SSRF en otra aplicación podría llevar a una El atacante puede enviar solicitudes a su aplicación. Aunque en muchos casos esto debería hacerse a ciegas, he visto ejemplos de SSRF que le permiten al atacante ver las respuestas a la solicitud realizada.

Obviamente, también si hay vulnerabilidades en otras aplicaciones que se ejecutan en el host (por ejemplo, inyección de comandos / SQLi), es probable que sea malo, ya que el atacante puede obtener acceso a la interfaz localhost para enviar solicitudes.

    
respondido por el Rоry McCune 22.05.2017 - 14:09
fuente

Lea otras preguntas en las etiquetas