ब्रेसेस में अनियंत्रित संसाधन खपत (Uncontrolled resource consumption)

CVE-2024-4068 npm पैकेज braces में, संसाधित किए जा सकने वाले वर्णों की संख्या पर सीमा की कमी के कारण मेमोरी की कमी हो सकती है। एक दुर्भावनापूर्ण हमलावर 'असंतुलित कोष्ठक' के साथ इनपुट भेजकर इस भेद्यता का फायदा उठा सकता है। इससे पार्सिंग कोड (lib/parse.js) में एक अनंत लूप ट्रिगर होगा, जिसके परिणामस्वरूप मेमोरी लगातार आवंटित होगी लेकिन जारी नहीं की जाएगी। अंततः, JavaScript ढेर सीमा तक पहुँच जाएगी, जिससे एप्लिकेशन क्रैश हो जाएगा। यह भेद्यता उन अनुप्रयोगों के लिए विशेष रूप से चिंताजनक है जो उपयोगकर्ता द्वारा प्रदान किए गए इनपुट को संसाधित करते हैं, क्योंकि एक हमलावर आसानी से एक दुर्भावनापूर्ण इनपुट बना सकता है जिससे सेवा से इनकार हो सकता है या सिस्टम सुरक्षा से समझौता किया जा सकता है।

Applications built with Node.js that directly or indirectly depend on the braces package, particularly those handling user-supplied input without proper validation, are at risk. This includes web applications, command-line tools, and any other Node.js-based software utilizing the braces package for string manipulation or pattern matching.

• nodejs / server:

  npm list braces

• nodejs / server:

  npm audit

• nodejs / server: Check application logs for errors related to memory allocation or heap exhaustion. • nodejs / server: Monitor process resource usage (CPU, memory) for sudden spikes indicative of memory exhaustion.

1. 2024-05-14Disclosure

   disclosure

1. आरक्षित2024-04-23
2. प्रकाशित2024-05-14
3. संशोधित2026-02-04
4. EPSS अद्यतन2026-04-02

अनुशंसित समाधान braces पैकेज को संस्करण 3.0.3 या उच्चतर में अपडेट करना है। इस संस्करण में एक फिक्स शामिल है जो पार्सर द्वारा आवंटित की जा सकने वाली मेमोरी की मात्रा को सीमित करता है, जिससे अनंत लूप और मेमोरी की कमी को रोका जा सकता है। यदि तत्काल अपडेट संभव नहीं है, तो braces पैकेज को पारित किए गए इनपुट की अधिकतम लंबाई को सीमित करके एक अस्थायी शमन लागू किया जा सकता है। सिस्टम पर शोषण की संभावना और संभावित प्रभाव निर्धारित करने के लिए जोखिम मूल्यांकन किया जाना चाहिए। इसके अतिरिक्त, एप्लिकेशन की मेमोरी उपयोग की निगरानी संभावित हमलों का पता लगाने और कम करने में मदद कर सकती है।

अंतिम अपडेट

3.0.324 महीने पहले