प्रोटोबफजेएस (protobufjs) में प्रोटोटाइप प्रदूषण

protobufjs में CVE-2022-25878 एक प्रोटोटाइप प्रदूषण जोखिम का प्रतिनिधित्व करता है। इसका मतलब है कि एक हमलावर Object.prototype पर गुण इंजेक्ट या संशोधित कर सकता है, जिससे संभावित रूप से सभी JavaScript कोड प्रभावित हो सकते हैं जो protobufjs का उपयोग करते हैं। प्रभावित संस्करण 6.10.0 से 6.10.3 और 6.11.0 से 6.11.3 सहित हैं। प्रोटोटाइप प्रदूषण अप्रत्याशित व्यवहार, रनटाइम त्रुटियों या यहां तक ​​कि दुर्भावनापूर्ण कोड के निष्पादन का कारण बन सकता है यदि इसे सफलतापूर्वक शोषण किया जाता है। यह भेद्यता मुख्य रूप से दो तरीकों से प्रकट होती है: util.setProperty या ReflectionObject.setParsedOption फ़ंक्शन के लिए अविश्वसनीय उपयोगकर्ता इनपुट का हेरफेर, और दुर्भावनापूर्ण .proto फ़ाइलों को लोड करना/पार्स करना। CVSS गंभीरता 7.5 है, जो उच्च जोखिम का संकेत देती है।

Applications built using Node.js that rely on the protobufjs library for data serialization and deserialization are at risk. This includes applications that process data from untrusted sources, such as user-uploaded files or external APIs, and those that parse .proto files without proper validation.

• nodejs / server:

  npm list protobufjs

• nodejs / server:

  npm audit protobufjs

• generic web: Inspect application logs for unusual object property modifications or errors related to protobuf parsing. Look for patterns of unexpected property names being added to objects.

1. 2022-05-28Disclosure

   disclosure

1. आरक्षित2022-02-24
2. प्रकाशित2022-05-28
3. संशोधित2025-01-14
4. EPSS अद्यतन2026-04-02

अनुशंसित समाधान protobufjs को संस्करण 6.11.4 या उच्चतर में अपग्रेड करना है। यह संस्करण प्रोटोटाइप प्रदूषण भेद्यता को पैच करता है। यदि तत्काल अपग्रेड संभव नहीं है, तो शमन उपायों को लागू करें, जैसे कि util.setProperty और ReflectionObject.setParsedOption फ़ंक्शन में उपयोग किए जाने वाले सभी उपयोगकर्ता इनपुट का सख्त सत्यापन और सफाई। इसके अतिरिक्त, अविश्वसनीय स्रोतों से .proto फ़ाइलों को लोड या पार्स करते समय सावधानी बरतें। सभी पुस्तकालयों को अद्यतित रखने के लिए परियोजना निर्भरताएँ जाँचें ताकि कैस्केडिंग भेद्यताओं से बचा जा सके। एप्लिकेशन लॉग में असामान्य व्यवहार की निगरानी भी संभावित शोषण प्रयासों का पता लगाने में मदद कर सकती है।

अंतिम अपडेट

8.0.05 महीने पहले