Nuxt Icon getroffen door een Server-Side Request Forgery (SSRF)

De SSRF-kwetsbaarheid in @nuxt/icon maakt het mogelijk voor een aanvaller om verzoeken te sturen naar interne systemen die normaal gesproken niet toegankelijk zijn vanaf het publieke internet. Dit kan leiden tot het uitlezen van interne configuratiebestanden, het benaderen van interne API's en het verkrijgen van toegang tot gevoelige data. Een aanvaller kan bijvoorbeeld interne services blootleggen of proberen om authenticatie te omzeilen. De impact is aanzienlijk, omdat een succesvolle exploitatie kan leiden tot een compromis van de gehele applicatie en de onderliggende infrastructuur. Dit soort kwetsbaarheden kunnen vergelijkbare gevolgen hebben als die in andere SSRF-scenario's, waarbij interne systemen onbedoeld worden blootgesteld.

Applications using @nuxt/icon version 1.4.4 or earlier are at risk. This includes Nuxt.js projects relying on this component for icon management. Shared hosting environments where the application server has limited network access controls are particularly vulnerable, as an attacker could potentially leverage the SSRF to access other services on the same host.

• nodejs / server:

ps aux | grep _nuxt_icon

• nodejs / server:

find / -name "_nuxt_icon/[name]" -type f 2>/dev/null

• generic web:

curl -I http://your-nuxt-app.com/api/_nuxt_icon/malicious_url

Inspect the response headers for unexpected hostnames or schemes.

1. 2024-08-05Disclosure

   disclosure

1. Gereserveerd2024-07-30
2. Gepubliceerd2024-08-05
3. Gewijzigd2024-08-06
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie voor CVE-2024-42352 is het upgraden van @nuxt/icon naar versie 1.4.5 of hoger. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het implementeren van een Web Application Firewall (WAF) of proxy die de URL-validatie uitvoert en pogingen tot het manipuleren van het schema en de host blokkeert. Controleer ook de configuratie van de applicatie om te verzekeren dat er geen onnodige interne services worden blootgesteld. Na de upgrade, verifieer de fix door een poging te doen om een verzoek naar een interne resource te sturen via de /api/nuxticon/[name] endpoint en controleer of dit wordt geblokkeerd.