Plataforma
nodejs
Componente
vriteio/vrite
Corregido en
0.3.0
Se ha identificado una vulnerabilidad de Server-Side Request Forgery (SSRF) en el repositorio vriteio/vrite, afectando a versiones anteriores a la 0.3.0. Esta vulnerabilidad permite a un atacante realizar solicitudes a recursos internos, potencialmente exponiendo información sensible o permitiendo el acceso no autorizado a sistemas internos. La versión 0.3.0 corrige esta vulnerabilidad. Se recomienda actualizar inmediatamente.
La vulnerabilidad SSRF en vriteio/vrite permite a un atacante, mediante la manipulación de las solicitudes HTTP, acceder a recursos internos que normalmente no estarían expuestos a Internet. Esto podría incluir la lectura de archivos de configuración, la interacción con servicios internos o incluso la ejecución de comandos en el servidor, dependiendo de la configuración y los permisos del usuario que ejecuta la aplicación. Un atacante podría utilizar esta vulnerabilidad para obtener credenciales, acceder a bases de datos internas o realizar ataques de escalada de privilegios. La severidad CRÍTICA indica un alto riesgo de explotación y un impacto significativo en la confidencialidad, integridad y disponibilidad de los sistemas afectados.
Esta vulnerabilidad ha sido publicada públicamente el 13 de octubre de 2023. No se ha reportado su inclusión en el KEV de CISA ni se han identificado campañas de explotación activas a la fecha. La disponibilidad de un Proof of Concept (PoC) público podría facilitar la explotación por parte de atacantes con conocimientos técnicos.
Applications and services that utilize the vriteio/vrite Node.js library, particularly those handling external data or interacting with internal APIs, are at risk. This includes projects relying on vriteio/vrite for data processing or integration with other services. Shared hosting environments where vriteio/vrite is a dependency of a larger application are also vulnerable.
• nodejs / server:
npm list vriteio/vrite• nodejs / server:
npm audit vriteio/vrite• nodejs / server: Check process arguments for suspicious URLs being passed to vriteio/vrite.
disclosure
Estado del Exploit
EPSS
0.27% (50% percentil)
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar a la versión 0.3.0 de vriteio/vrite, que incluye la corrección. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como restringir el acceso a los recursos internos mediante firewalls o listas de control de acceso (ACLs). Además, se puede implementar un Web Application Firewall (WAF) para filtrar las solicitudes maliciosas y bloquear las que intenten explotar la vulnerabilidad SSRF. Es crucial revisar la configuración de la aplicación para asegurar que no se están utilizando credenciales predeterminadas o que se están exponiendo servicios internos innecesariamente.
Actualice la versión de vriteio/vrite a la 0.3.0 o superior. Esta versión corrige la vulnerabilidad SSRF. Puede actualizar el paquete utilizando npm o yarn según su configuración de proyecto.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2023-5572 is a critical Server-Side Request Forgery (SSRF) vulnerability in the vriteio/vrite Node.js library, allowing attackers to make requests to unintended locations.
You are affected if you are using vriteio/vrite versions prior to 0.3.0. Check your project dependencies to determine if you are vulnerable.
Upgrade to vriteio/vrite version 0.3.0 or later. If immediate upgrade is not possible, implement temporary workarounds like restricting outbound network access.
While no active exploitation campaigns have been publicly confirmed, the CRITICAL severity makes it a high-priority target for attackers.
Refer to the vriteio GitHub repository for updates and advisories: https://github.com/vriteio/vrite
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.