Plataforma
nodejs
Componente
@backstage/backend-common
Corregido en
0.21.1
0.19.11
0.20.1
La vulnerabilidad CVE-2024-26150 es un fallo de Path Traversal descubierto en la biblioteca @backstage/backend-common, una herramienta de Backstage para la construcción de portales de desarrolladores. Esta falla permite a atacantes acceder a archivos sensibles debido a una validación insuficiente de rutas. Afecta a versiones de @backstage/backend-common menores o iguales a 0.20.0 y menores a 0.20.2. La solución es actualizar a la versión 0.21.1.
Un atacante que explote esta vulnerabilidad podría leer archivos arbitrarios en el sistema de archivos del servidor, potencialmente exponiendo información confidencial como claves de API, contraseñas, o código fuente. La severidad del impacto depende de los permisos del usuario bajo el cual se ejecuta el proceso de Backstage y de la ubicación de los archivos sensibles. La capacidad de leer archivos arbitrarios podría permitir a un atacante obtener una comprensión más profunda de la arquitectura de la aplicación y descubrir otras vulnerabilidades. Este tipo de vulnerabilidad, aunque no directamente comparable a Log4Shell, comparte la capacidad de permitir el acceso no autorizado a recursos protegidos.
Esta vulnerabilidad fue publicada el 23 de febrero de 2024. Actualmente, no se ha reportado explotación activa en la naturaleza, pero la naturaleza de Path Traversal hace que sea un objetivo atractivo para atacantes. No se ha añadido a la lista KEV de CISA, y la probabilidad de explotación se considera moderada, dada la popularidad de Backstage y la relativa facilidad de explotar fallos de Path Traversal. Se recomienda monitorear las fuentes de inteligencia de amenazas para detectar cualquier actividad sospechosa.
Organizations using Backstage developer portals and relying on @backstage/backend-common are at risk. This includes teams managing developer tools, infrastructure, and internal applications. Shared hosting environments where multiple Backstage instances share the same server are particularly vulnerable, as a compromise of one instance could potentially lead to the compromise of others.
• nodejs / server:
find /path/to/node_modules/@backstage/backend-common -type f -name 'resolveSafeChildPath.js' -print0 | xargs -0 grep -i 'path.resolve'• nodejs / server:
npm list @backstage/backend-common• generic web: Inspect web server access logs for requests containing unusual path patterns or attempts to traverse directories using '..' sequences.
disclosure
Estado del Exploit
EPSS
0.50% (66% percentil)
CISA SSVC
Vector CVSS
La mitigación principal es actualizar la biblioteca @backstage/backend-common a la versión 0.21.1 o superior. Si la actualización inmediata no es posible, considere implementar medidas de seguridad adicionales como restringir los permisos del usuario bajo el cual se ejecuta el proceso de Backstage. Además, revise y endurezca las políticas de control de acceso a los archivos del servidor. No existen parches de seguridad previos a la versión 0.21.1, por lo que la actualización es la única solución definitiva. Después de la actualización, verifique que la validación de rutas se esté realizando correctamente revisando los logs del servidor en busca de intentos de acceso no autorizados.
Actualice el paquete `@backstage/backend-common` a la versión 0.21.1, 0.20.2 o 0.19.10 o superior. Esto corrige la vulnerabilidad de path traversal causada por la manipulación de symlinks. Ejecute `npm install @backstage/backend-common@latest` o `yarn upgrade @backstage/backend-common@latest` para actualizar.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2024-26150 is a HIGH severity Path Traversal vulnerability affecting @backstage/backend-common versions ≤0.20.0 and <0.20.2. Insufficient path checks allow symlink injection, potentially enabling unauthorized file access.
You are affected if you are using @backstage/backend-common versions 0.20.0 or below, or versions prior to 0.20.2. Check your project dependencies to determine if you are vulnerable.
Upgrade to @backstage/backend-common version 0.21.1 or later. If upgrading is not immediately possible, implement stricter file access controls and input validation.
While no active exploitation campaigns have been publicly reported, the vulnerability is publicly known and a proof-of-concept may be available, increasing the risk of opportunistic attacks.
Refer to the Backstage security advisories and the NVD entry for CVE-2024-26150 for detailed information and updates.
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.