CVE-2024-24806

libuv asinxron I/O-ya yönəlmiş çoxplatformalı dəstək kitabxanasıdır. `src/unix/getaddrinfo.c` faylındakı `uv_getaddrinfo` funksiyası (və onun Windows qarşılığı olan `src/win/getaddrinfo.c`), `getaddrinfo` çağırılmadan əvvəl host adlarını 256 simvola qədər kəsir. Bu davranış, `getaddrinfo` tərəfindən etibarlı hesab edilən `0x00007f000001` kimi ünvanların yaradılması üçün istifadə edilə bilər və bu da hücumçunun tərtibatçı yoxlamalarını yan keçərək gözlənilməyən IP ünvanlarına yönələn payload-lar hazırlamasına şərait yarada bilər. Zəiflik, `uv_getaddrinfo` və daha sonra `uv__idna_toascii` daxilində `hostname_ascii` dəyişəninin (uzunluğu 256 bayt) idarə olunma tərzindən qaynaqlanır. Host adı 256 simvolu aşdıqda, o, sonlandırıcı null baytı olmadan kəsilir. Nəticə etibarilə, hücumçular daxili API-lara və ya istifadəçilərə `username.example.com` səhifələrinə icazə verən veb saytlara (MySpace kimi) giriş əldə edə bilərlər. Bədniyyətli istifadəçi uzun və zəifliyə meyilli istifadəçi adı seçdikdə, bu istifadəçi səhifələrini skan edən və ya keşləyən daxili xidmətlər SSRF hücumlarına məruz qala bilər. Bu problem 1.48.0 versiyasında aradan qaldırılmışdır. İstifadəçilərə yeniləmə etmək tövsiyə olunur. Bu zəiflik üçün məlum alternativ həll yolu yoxdur.