Platform
nodejs
Component
http-proxy-middleware
Opgelost in
2.0.7
3.0.3
2.0.7
CVE-2024-21536 is een Denial of Service (DoS) kwetsbaarheid in de http-proxy-middleware package. Door een UnhandledPromiseRejection error in micromatch kan een aanvaller de Node.js server laten crashen door specifieke paden aan te vragen. Dit kan leiden tot een onbeschikbare service. De kwetsbaarheid treft versies van http-proxy-middleware vóór 2.0.7 en versies vanaf 3.0.0 vóór 3.0.3. De kwetsbaarheid is verholpen in versie 2.0.7.
CVE-2024-21536 treft het http-proxy-middleware-pakket in versies vóór 2.0.7 en tussen 3.0.0 en 3.0.3. Dit is een Denial-of-Service (DoS)-kwetsbaarheid die wordt veroorzaakt door een UnhandledPromiseRejection-fout die wordt gegenereerd door de micromatch-bibliotheek. Een aanvaller kan het Node.js-proces en de server laten crashen door specifieke verzoeken naar bepaalde paden te sturen. Dit kan leiden tot onderbreking van de dienst en de niet-beschikbaarheid van de webapplicatie die http-proxy-middleware gebruikt. De CVSS-severity score is 7.5, wat een hoog risico aangeeft. Het is cruciaal om het pakket bij te werken om dit risico te beperken.
Een aanvaller kan deze kwetsbaarheid uitbuiten door een reeks zorgvuldig samengestelde verzoeken naar specifieke routes te sturen die worden behandeld door http-proxy-middleware. Deze verzoeken zijn ontworpen om de UnhandledPromiseRejection-fout in micromatch te activeren, wat op zijn beurt leidt tot de beëindiging van het Node.js-proces. De moeilijkheidsgraad van de exploitatie hangt af van de serverconfiguratie en de blootstelling van kwetsbare routes. Een aanvaller met toegang tot het interne netwerk of via een kwetsbaarheid in een andere component kan deze zwakte benutten om de dienst te verstoren. De aard van de DoS-kwetsbaarheid betekent dat het doel niet is om gegevens te stelen, maar simpelweg de dienst ontoegankelijk te maken.
Applications and services relying on http-proxy-middleware as a reverse proxy or API gateway are at risk. This includes Node.js applications using this package for request routing and transformation. Shared hosting environments where multiple applications share the same Node.js process are particularly vulnerable, as a single compromised application could impact all others.
• nodejs / server:
ps aux | grep 'node' | grep http-proxy-middleware• nodejs / server:
npm list http-proxy-middleware• nodejs / server: Monitor Node.js process logs for UnhandledPromiseRejection errors related to micromatch.
• nodejs / server: Use a process monitoring tool (e.g., PM2, systemd) to automatically restart the Node.js process if it crashes.
disclosure
Exploit Status
EPSS
0.35% (58% percentiel)
CISA SSVC
CVSS-vector
De oplossing om CVE-2024-21536 te beperken is het http-proxy-middleware-pakket bij te werken naar versie 2.0.7 of hoger, of naar versie 3.0.3 of hoger. Dit corrigeert de UnhandledPromiseRejection-fout in micromatch die de exploitatie van de DoS-kwetsbaarheid mogelijk maakt. Het wordt aanbevolen om deze update zo snel mogelijk uit te voeren om uw systemen te beschermen. Controleer bovendien de serverlogboeken op ongebruikelijke patronen die een poging tot exploitatie kunnen aangeven. Als een onmiddellijke update niet mogelijk is, overweeg dan om firewallregels te implementeren om de toegang tot kwetsbare routes te beperken, hoewel dit geen volledige oplossing is.
Actualice el paquete http-proxy-middleware a la versión 2.0.7 o superior, o a la versión 3.0.3 o superior. Esto corrige la vulnerabilidad de denegación de servicio causada por un error UnhandledPromiseRejection. Ejecute `npm install http-proxy-middleware@latest` o `yarn add http-proxy-middleware@latest` para obtener la versión más reciente.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Het is een Node.js-middleware waarmee je een HTTP-proxy kunt maken. Het wordt vaak gebruikt om verzoeken naar andere servers door te sturen, vaak voor ontwikkelingsdoeleinden of om webapplicaties te beschermen.
DoS betekent dat een aanvaller probeert een dienst ontoegankelijk te maken voor legitieme gebruikers, meestal door het systeem te overbelasten met verkeer of verzoeken.
Je kunt de versie controleren met de opdracht npm list http-proxy-middleware in je terminal.
Als je niet onmiddellijk kunt updaten, overweeg dan om firewallregels te implementeren om de toegang tot kwetsbare routes te beperken en de serverlogboeken te controleren.
Ja, er zijn tools zoals npm audit en yarn audit die je afhankelijkheden kunnen scannen op kwetsbaarheden en updates kunnen suggereren.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.