CVE-2024-49363

Misskey açık kaynaklı, federe bir sosyal medya platformudur. Etkilenen sürümlerde, github.com/misskey-dev/misskey 2024.10.1 veya daha eski versiyonlardaki FileServerService (medya proxy), proxy döngülerini tespit etmemektedir; bu durum uzak aktörlerin kötü niyetle oluşturulmuş bir not aracılığıyla kendi kendini yayan yansıtılmış/yükseltilmiş bir dağıtık hizmet reddi (DDoS) saldırısı gerçekleştirmesine olanak tanır. FileServerService.prototype.proxyHandler, gelen isteklerin başka bir proxy sunucusundan gelip gelmediğini kontrol etmemektedir. Bir saldırgan, sunucuya iç içe geçmiş bir proxy isteği göndererek ve isteği başka bir iç içe geçmiş proxy isteğine yönlendiren kötü amaçlı bir yeniden yönlendirme ile sonlandırarak yükseltilmiş bir hizmet reddi saldırısı gerçekleştirebilir. Bu durum, orijinal istek zaman aşımına uğrayana kadar sınırsız özyinelemeye yol açar. Bu sorun 2024.11.0-alpha.3 sürümünde giderilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, ters proxy'yi boş bir User-Agent başlığına veya Misskey/ içeren bir başlığa sahip proxy isteklerini engelleyecek şekilde yapılandırabilirler. Bir saldırgan, sunucuya başka bir istek göndermeden User-Agent başlığını etkili bir şekilde değiştiremez.