CVE-2022-24999
Açıklama
Express 4.17.3 öncesindeki sürümlerde ve diğer ürünlerde kullanılan 6.10.3 öncesi qs, bir __proto__ anahtarının kullanılabilmesi nedeniyle saldırganların bir Express uygulaması için Node işleminin askıda kalmasına neden olmasına izin verir. Birçok tipik Express kullanım durumunda, kimliği doğrulanmamış uzak bir saldırgan, saldırı yükünü uygulamanın ziyaret edilmesi için kullanılan URL'nin sorgu dizesine yerleştirebilir; örneğin a[__proto__]=b&a[__proto__]&a[length]=100000000 gibi. Düzeltme qs 6.9.7, 6.8.3, 6.7.3, 6.6.1, 6.5.3, 6.4.1, 6.3.3 ve 6.2.4 sürümlerine geri port edilmiştir (bu nedenle sürüm açıklamasında "deps: [email protected]" ifadesi bulunan Express 4.17.3 savunmasız değildir).
Nasıl düzeltilir
- openjsf express4.17.3 ya da sonraki bir sürüm
- qs_project qs6.2.4, 6.3.3, 6.5.3, 6.7.3, 6.8.3, 6.9.7, 6.10.3 ya da sonraki bir sürüm
- qs6.10.3, 6.9.7, 6.8.3, 6.7.3, 6.6.1, 6.5.3, 6.4.1, 6.3.3, 6.2.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openjsf express | v < 4.17.3 | 4.17.3 |
| qs_project qs | v < 6.2.4, 6.3.0 ≤ v < 6.3.3, 6.5.0 ≤ v < 6.5.3, 6.7.0 ≤ v < 6.7.3, 6.8.0 ≤ v < 6.8.3, 6.9.0 ≤ v < 6.9.7, 6.10.0 ≤ v < 6.10.3, 6.4.0, 6.6.0 | 6.2.4, 6.3.3, 6.5.3, 6.7.3, 6.8.3, 6.9.7, 6.10.3 |
| debian debian_linux | 10.0 | — |
| qsnpm | 6.10.0 ≤ v < 6.10.3, 6.9.0 ≤ v < 6.9.7, 6.8.0 ≤ v < 6.8.3, 6.7.0 ≤ v < 6.7.3, 6.6.0 ≤ v < 6.6.1, 6.5.0 ≤ v < 6.5.3, 6.4.0 ≤ v < 6.4.1, 6.3.0 ≤ v < 6.3.3, v < 6.2.4 | 6.10.3, 6.9.7, 6.8.3, 6.7.3, 6.6.1, 6.5.3, 6.4.1, 6.3.3, 6.2.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.