प्लेटफ़ॉर्म
nodejs
घटक
dns-sync
में ठीक किया गया
0.1.1
CVE-2017-16100 dns-sync में एक कमांड इंजेक्शन भेद्यता है, जो हमलावरों को अनधिकृत कमांड निष्पादित करने की अनुमति देती है। यह भेद्यता resolve() विधि में मौजूद है, जहाँ अविश्वसनीय इनपुट को ठीक से सैनिटाइज नहीं किया जाता है। प्रभावित संस्करण 0.1.0 से पहले के हैं। 0.1.1 संस्करण में इस समस्या का समाधान किया गया है।
यह भेद्यता हमलावरों को सर्वर पर मनमाना कोड निष्पादित करने की अनुमति देती है, जिससे डेटा चोरी, सिस्टम समझौता और अन्य दुर्भावनापूर्ण गतिविधियाँ हो सकती हैं। चूंकि dns-sync का उपयोग अक्सर DNS रिज़ॉल्यूशन के लिए किया जाता है, इसलिए इस भेद्यता का शोषण DNS ट्रैफ़िक को बाधित करने या दुर्भावनापूर्ण डोमेन को पुनर्निर्देशित करने के लिए भी किया जा सकता है। यह भेद्यता Log4Shell जैसी अन्य कमांड इंजेक्शन भेद्यताओं के समान है, जहाँ अविश्वसनीय इनपुट को ठीक से हैंडल नहीं किया जाता है।
यह CVE सार्वजनिक रूप से ज्ञात है और इसमें एक सार्वजनिक प्रूफ-ऑफ-कॉन्सेप्ट (PoC) मौजूद है। CISA ने इसे KEV में शामिल नहीं किया है। NVD ने 2018-07-18 को इस भेद्यता को प्रकाशित किया। सक्रिय शोषण की कोई पुष्टि नहीं है, लेकिन भेद्यता की गंभीरता और PoC की उपलब्धता के कारण, शोषण का जोखिम बना हुआ है।
Applications and systems utilizing the dns-sync package in Node.js environments are at risk, particularly those that accept external input that is processed by the resolve() method without proper sanitization. Development environments using older versions of dns-sync are also vulnerable.
• nodejs / server:
npm list dns-sync• nodejs / server:
npm audit dns-sync• nodejs / server:
grep -r 'dns-sync.resolve(' /path/to/your/projectdisclosure
एक्सप्लॉइट स्थिति
EPSS
5.34% (90% शतमक)
CVE-2017-16100 को कम करने के लिए, तुरंत dns-sync को संस्करण 0.1.1 या बाद के संस्करण में अपडेट करें। यदि अपडेट करना संभव नहीं है, तो dns-sync.resolve() विधि में अविश्वसनीय इनपुट को बिल्कुल भी न भेजें। एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग कमांड इंजेक्शन हमलों को रोकने के लिए किया जा सकता है, लेकिन यह अपडेट का विकल्प नहीं है। सुनिश्चित करें कि आपके DNS सर्वर सुरक्षित हैं और अनधिकृत पहुंच से सुरक्षित हैं। अपडेट के बाद, यह सत्यापित करें कि dns-sync संस्करण 0.1.1 या बाद का है, dns-sync --version कमांड चलाकर।
कोई आधिकारिक पैच उपलब्ध नहीं है। वैकल्पिक समाधान खोजें या अपडेट की निगरानी करें।
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2017-16100 dns-sync में resolve() विधि में एक कमांड इंजेक्शन भेद्यता है, जो हमलावरों को मनमाना कमांड निष्पादित करने की अनुमति देती है।
यदि आप dns-sync के संस्करण 0.1.0 से पहले का उपयोग कर रहे हैं, तो आप प्रभावित हैं।
dns-sync को संस्करण 0.1.1 या बाद के संस्करण में अपडेट करें।
सक्रिय शोषण की कोई पुष्टि नहीं है, लेकिन भेद्यता की गंभीरता के कारण, शोषण का जोखिम बना हुआ है।
अधिक जानकारी के लिए, कृपया dns-sync GitHub रिपॉजिटरी देखें: https://github.com/dns-sync/dns-sync
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।