ip (aka node-ip) पैकेज 2.0.1 के माध्यम से, SSRF की अनुमति दे सकता है क्योंकि IP एड्रेस वैल्यू 017700000001 को isPublic के माध्यम से गलत तरीके से वैश्विक रूप से रूट करने योग्य के रूप में वर्गीकृत किया गया है। NOTE: यह मुद्दा CVE-2024-29415 के लिए एक अधूरी फिक्स के कारण मौजूद है।

इस SSRF भेद्यता का उपयोग करके, एक हमलावर आंतरिक नेटवर्क संसाधनों तक पहुँच सकता है जो सामान्य रूप से बाहरी दुनिया के लिए दुर्गम हैं। हमलावर आंतरिक API, डेटाबेस या अन्य संवेदनशील सेवाओं को लक्षित कर सकते हैं। यह जानकारी की गोपनीयता, अखंडता और उपलब्धता से समझौता कर सकता है। यह भेद्यता CVE-2024-29415 के लिए अधूरे सुधार के कारण उत्पन्न हुई है, जो पहले इसी तरह की समस्या को संबोधित करती थी। हमलावर इस भेद्यता का उपयोग आंतरिक सेवाओं को स्कैन करने, संवेदनशील डेटा निकालने या आगे के हमलों को लॉन्च करने के लिए कर सकते हैं।

Applications built with Node.js that utilize the ip package for IP address manipulation are at risk. This includes applications deployed in cloud environments where access to metadata services is a concern, as well as applications that handle user-supplied IP addresses without proper validation.

• nodejs / supply-chain:

  npm list ip
  npm audit ip

• generic web:

  curl -I http://your-node-app/ip-endpoint  # Check for unexpected outbound requests in response headers
  grep -r '017700000001' /var/log/nginx/access.log # Look for requests containing the problematic IP address in access logs

1. 2025-09-16Disclosure

   disclosure

1. आरक्षित2025-09-16
2. प्रकाशित2025-09-16
3. EPSS अद्यतन2026-03-23

CVE-2025-59436 के लिए प्राथमिक शमन उपाय ip Node.js पैकेज को संस्करण 2.0.2 या बाद के संस्करण में अपग्रेड करना है। यदि अपग्रेड करना तत्काल संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप एक वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग कर सकते हैं ताकि संदिग्ध अनुरोधों को फ़िल्टर किया जा सके जो SSRF हमलों का प्रयास कर सकते हैं। इसके अतिरिक्त, आप अपने आंतरिक नेटवर्क को सुरक्षित करने के लिए सख्त नेटवर्क विभाजन और एक्सेस नियंत्रण लागू कर सकते हैं। यह सुनिश्चित करें कि आंतरिक सेवाओं को केवल अधिकृत स्रोतों से ही पहुँचा जा सकता है।

अंतिम अपडेट

2.0.127 महीने पहले