प्लेटफ़ॉर्म
nodejs
घटक
webpack-dev-middleware
में ठीक किया गया
7.0.1
6.0.1
5.3.5
7.1.0
CVE-2024-29180 एक पथ पारगमन भेद्यता है जो webpack-dev-middleware में मौजूद है। यह भेद्यता हमलावरों को डेवलपर मशीन पर स्थित किसी भी फ़ाइल को एक्सेस करने की अनुमति देती है, जिससे संवेदनशील जानकारी का खुलासा हो सकता है। यह भेद्यता webpack-dev-middleware के संस्करण 7.1.0 से पहले के संस्करणों को प्रभावित करती है। इस समस्या को हल करने के लिए, 7.1.0 या उसके बाद के संस्करण में अपग्रेड करने की सिफारिश की जाती है।
यह भेद्यता गंभीर है क्योंकि यह हमलावरों को डेवलपर मशीन पर संग्रहीत संवेदनशील डेटा तक पहुंचने की अनुमति देती है। इसमें स्रोत कोड, कॉन्फ़िगरेशन फ़ाइलें, API कुंजियाँ और अन्य गोपनीय जानकारी शामिल हो सकती है। एक हमलावर इस भेद्यता का उपयोग मशीन पर आगे की दुर्भावनापूर्ण गतिविधि करने के लिए भी कर सकता है, जैसे कि मैलवेयर स्थापित करना या अन्य प्रणालियों तक पहुंच प्राप्त करना। यह भेद्यता विशेष रूप से खतरनाक है क्योंकि यह वेब एप्लिकेशन डेवलपमेंट के दौरान उपयोग किए जाने वाले एक लोकप्रिय उपकरण को प्रभावित करती है, जिसका अर्थ है कि कई प्रणालियाँ जोखिम में हो सकती हैं। इस भेद्यता का शोषण करने का तरीका एक हमलावर द्वारा webpack-dev-middleware को एक विशेष रूप से तैयार URL प्रदान करना है जो उन्हें फ़ाइल सिस्टम में मनमाना स्थानों पर नेविगेट करने की अनुमति देता है।
CVE-2024-29180 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन इसकी गंभीरता और शोषण में आसानी के कारण, यह शोषण के लिए एक आकर्षक लक्ष्य है। यह भेद्यता KEV (Know Exploited Vulnerabilities) सूची में शामिल नहीं है, लेकिन EPSS (Exploit Prediction Score System) स्कोर मध्यम-उच्च होने की संभावना है, जो सार्वजनिक शोषण के लिए मध्यम से उच्च संभावना का संकेत देता है। 2024-03-21 को सार्वजनिक रूप से खुलासा किया गया था। सार्वजनिक रूप से उपलब्ध प्रमाण-अवधारणा (PoC) अभी तक नहीं देखा गया है, लेकिन भेद्यता की प्रकृति के कारण, यह जल्द ही उपलब्ध हो सकता है।
Development teams using webpack-dev-middleware in their Node.js projects are at risk, especially those who have enabled the writeToDisk option. Shared hosting environments where developers have limited control over server configurations are also particularly vulnerable, as are projects utilizing older, unpatched versions of webpack-dev-middleware.
• nodejs / server:
find / -name 'webpack-dev-middleware' -print
ps aux | grep webpack-dev-middleware
journalctl -u webpack-dev-middleware -f• generic web:
curl -I http://your-server/../../../../etc/passwd
grep '200 OK' /var/log/apache2/access.logdisclosure
एक्सप्लॉइट स्थिति
EPSS
2.53% (85% शतमक)
CVSS वेक्टर
CVE-2024-29180 को कम करने का प्राथमिक तरीका webpack-dev-middleware को संस्करण 7.1.0 या उसके बाद के संस्करण में अपग्रेड करना है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप webpack-dev-middleware के लिए writeToDisk विकल्प को false पर सेट कर सकते हैं, जो वर्चुअल फ़ाइल सिस्टम का उपयोग करता है और फ़ाइल सिस्टम तक सीधी पहुंच को रोकता है। इसके अतिरिक्त, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके पथ पारगमन हमलों को रोकने के लिए नियम कॉन्फ़िगर कर सकते हैं। यह सुनिश्चित करें कि आपके वेब सर्वर के लिए एक्सेस नियंत्रण उचित रूप से कॉन्फ़िगर किए गए हैं ताकि अनधिकृत पहुंच को रोका जा सके। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, यह सुनिश्चित करने के लिए कि कोई भी अनुरोध मनमाना फ़ाइलों तक पहुंचने का प्रयास नहीं करता है।
Actualice webpack-dev-middleware a la versión 7.1.0, 6.1.2 o 5.3.4 o superior. Esto corrige la vulnerabilidad de path traversal al normalizar las URLs antes de procesarlas. Ejecute `npm update webpack-dev-middleware` o `yarn upgrade webpack-dev-middleware` para actualizar.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2024-29180 webpack-dev-middleware में एक पथ पारगमन भेद्यता है जो हमलावरों को डेवलपर मशीन पर किसी भी फ़ाइल को एक्सेस करने की अनुमति देती है।
यदि आप webpack-dev-middleware के संस्करण 7.1.0 से पहले का उपयोग कर रहे हैं, तो आप प्रभावित हैं।
CVE-2024-29180 को ठीक करने के लिए, webpack-dev-middleware को संस्करण 7.1.0 या उसके बाद के संस्करण में अपग्रेड करें।
CVE-2024-29180 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन यह शोषण के लिए एक आकर्षक लक्ष्य है।
आप webpack-dev-middleware के लिए आधिकारिक सलाहकार यहां पा सकते हैं: https://github.com/webpack/webpack-dev-middleware/security/advisories/GHSA-9999
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।