gin-vue-admin पृष्ठभूमि में मनमाना कोड कवरेज भेद्यता

यह भेद्यता हमलावरों को plugName पैरामीटर में हेरफेर करके डायरेक्टरी ट्रैवर्सल करने की अनुमति देती है। इसका मतलब है कि वे सिस्टम पर मनमाना फ़ाइलें बना और संशोधित कर सकते हैं, संभावित रूप से संवेदनशील डेटा तक पहुंच प्राप्त कर सकते हैं या सिस्टम के सामान्य संचालन को बाधित कर सकते हैं। हमलावर api, config, global, model, router, service, और main.go जैसे विशिष्ट फ़ोल्डर बना सकते हैं, और इन फ़ोल्डरों के भीतर Go फ़ाइलें बना सकते हैं। इससे सिस्टम की सुरक्षा और अखंडता को गंभीर खतरा हो सकता है। इस तरह के भेद्यता का शोषण सिस्टम के नियंत्रण को प्राप्त करने और संवेदनशील जानकारी को उजागर करने के लिए किया जा सकता है।

Organizations using gin-vue-admin for their backend management systems are at risk, particularly those running older, unpatched versions. Shared hosting environments where multiple users have access to the plugin management features are especially vulnerable, as a compromised plugin could affect the entire hosting instance. Any deployment relying on the default plugin template functionality without proper input validation is also at increased risk.

• linux / server:

find /opt/gin-vue-admin/plugins/ -name '*api*.go' -o -name '*config*.go' -o -name '*global*.go' -o -name '*model*.go' -o -name '*router*.go' -o -name '*service*.go' -o -name '*main.go*' 2>/dev/null

• generic web:

curl -I 'http://your-gin-vue-admin-instance/plugins/api/some..directory.go' # Check for 403 or other error indicating traversal is blocked

1. 2024-04-09Disclosure

   disclosure

2. 2024-04-09Patch

   patch

1. आरक्षित2024-04-03
2. प्रकाशित2024-04-09
3. संशोधित2024-08-02
4. EPSS अद्यतन2026-04-02

CVE-2024-31457 के प्रभाव को कम करने के लिए, gin-vue-admin को संस्करण 0.0.0-20240409100909-b1b7427c6ea6 में तुरंत अपडेट करना महत्वपूर्ण है। यदि तत्काल अपग्रेड संभव नहीं है, तो वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके plugName पैरामीटर के लिए इनपुट सत्यापन लागू करने पर विचार करें। यह सुनिश्चित करें कि इनपुट केवल अपेक्षित वर्णों को ही स्वीकार करता है और डायरेक्टरी ट्रैवर्सल प्रयासों को रोकता है। इसके अतिरिक्त, सिस्टम लॉग की नियमित रूप से निगरानी करें ताकि किसी भी संदिग्ध गतिविधि का पता लगाया जा सके। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, सिस्टम लॉग की जांच करके और यह सुनिश्चित करके कि कोई अनधिकृत फ़ाइलें नहीं बनाई गई हैं।