CVE-2022-24999
Təsvir
Express-in 4.17.3 versiyasından əvvəlki versiyalarında və digər məhsullarda istifadə olunan qs kitabxanasının 6.10.3 versiyasından əvvəlki versiyaları, __proto__ açarının istifadə edilə bilməsi səbəbindən hücumçulara Express tətbiqi üçün Node prosesinin donmasına səbəb olmağa imkan verir. Bir çox tipik Express istifadə ssenarilərində, autentifikasiya olunmamış uzaqdakı hücumçu hücum yükünü tətbiqə daxil olmaq üçün istifadə edilən URL-in sorğu sətrinə yerləşdirə bilər, məsələn: a[__proto__]=b&a[__proto__]&a[length]=100000000. Düzəliş qs 6.9.7, 6.8.3, 6.7.3, 6.6.1, 6.5.3, 6.4.1, 6.3.3 və 6.2.4 versiyalarına tətbiq edilmişdir (və buna görə də buraxılış təsvirində "deps: [email protected]" olan Express 4.17.3 versiyası həssas deyil).
Necə düzəltmək olar
- openjsf express4.17.3 və ya daha yeni versiya
- qs_project qs6.2.4, 6.3.3, 6.5.3, 6.7.3, 6.8.3, 6.9.7, 6.10.3 və ya daha yeni versiya
- qs6.10.3, 6.9.7, 6.8.3, 6.7.3, 6.6.1, 6.5.3, 6.4.1, 6.3.3, 6.2.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openjsf express | v < 4.17.3 | 4.17.3 |
| qs_project qs | v < 6.2.4, 6.3.0 ≤ v < 6.3.3, 6.5.0 ≤ v < 6.5.3, 6.7.0 ≤ v < 6.7.3, 6.8.0 ≤ v < 6.8.3, 6.9.0 ≤ v < 6.9.7, 6.10.0 ≤ v < 6.10.3, 6.4.0, 6.6.0 | 6.2.4, 6.3.3, 6.5.3, 6.7.3, 6.8.3, 6.9.7, 6.10.3 |
| debian debian_linux | 10.0 | — |
| qsnpm | 6.10.0 ≤ v < 6.10.3, 6.9.0 ≤ v < 6.9.7, 6.8.0 ≤ v < 6.8.3, 6.7.0 ≤ v < 6.7.3, 6.6.0 ≤ v < 6.6.1, 6.5.0 ≤ v < 6.5.3, 6.4.0 ≤ v < 6.4.1, 6.3.0 ≤ v < 6.3.3, v < 6.2.4 | 6.10.3, 6.9.7, 6.8.3, 6.7.3, 6.6.1, 6.5.3, 6.4.1, 6.3.3, 6.2.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.