CVE-2017-16224
Açıklama
st, statik dosyaları sunmak için kullanılan bir modüldür. Bir saldırgan, tamamen farklı bir domaine HTTP 301 (yönlendirme) ile sonuçlanan özel bir istek oluşturabilir. http://some.server.com//nodesecurity.org/%2e%2e şeklindeki bir istek, çoğu tarayıcının // ifadesini mevcut şema olarak yorumlaması nedeniyle uygun bir yönlendirme olarak kabul ettiği //nodesecurity.org/%2e%2e adresine 301 yönlendirmesiyle sonuçlanır. Hafifletici faktör: Bunun çalışabilmesi için st'nin tipik bir alt dizin (/static/) yerine sunucunun kök dizininden (/) hizmet vermesi gerekir ve yönlendirme URL'si herhangi bir şekilde URL kodlanmış .. ("%2e%2e", "%2e.", ".%2e") ile bitmelidir.
Nasıl düzeltilir
- st1.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| st_project st | v ≤ 1.2.1 | — |
| stnpm | v < 1.2.2 | 1.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.