Plataforma
nodejs
Componente
@backstage/backend-common
Corrigido em
0.21.1
0.19.11
0.20.1
A vulnerabilidade CVE-2024-26150 afeta a biblioteca @backstage/backend-common, utilizada em backends para o Backstage, uma plataforma para portais de desenvolvedores. Devido a verificações insuficientes de caminhos na função resolveSafeChildPath, é possível explorar essa falha através da injeção de symlinks. Versões afetadas incluem 0.20.0 e anteriores, e versões anteriores a 0.20.2. A correção está disponível a partir da versão 0.21.1.
Um atacante pode explorar essa vulnerabilidade injetando symlinks maliciosos que apontam para arquivos sensíveis no sistema de arquivos. Isso pode resultar em acesso não autorizado a informações confidenciais, como chaves de API, senhas, ou código-fonte. A exploração bem-sucedida pode permitir a leitura de arquivos fora do diretório esperado, comprometendo a integridade e confidencialidade do sistema. A severidade da vulnerabilidade é alta devido ao potencial de acesso não autorizado e impacto significativo nos dados.
A vulnerabilidade foi divulgada em 23 de fevereiro de 2024. Não há relatos públicos de exploração ativa no momento. A ausência de um Proof of Concept (PoC) público dificulta a avaliação precisa da probabilidade de exploração, mas a natureza da vulnerabilidade (Path Traversal) a torna um alvo potencial para atacantes. A pontuação CVSS de 8.7 (ALTO) indica um risco significativo.
Organizations using Backstage developer portals and relying on @backstage/backend-common are at risk. This includes teams managing developer tools, infrastructure, and internal applications. Shared hosting environments where multiple Backstage instances share the same server are particularly vulnerable, as a compromise of one instance could potentially lead to the compromise of others.
• nodejs / server:
find /path/to/node_modules/@backstage/backend-common -type f -name 'resolveSafeChildPath.js' -print0 | xargs -0 grep -i 'path.resolve'• nodejs / server:
npm list @backstage/backend-common• generic web: Inspect web server access logs for requests containing unusual path patterns or attempts to traverse directories using '..' sequences.
disclosure
Status do Exploit
EPSS
0.50% (percentil 66%)
CISA SSVC
Vetor CVSS
A mitigação primária é atualizar a biblioteca @backstage/backend-common para a versão 0.21.1 ou superior. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o acesso ao sistema de arquivos e monitorar a atividade suspeita. Verifique se o ambiente Backstage possui permissões de leitura/escrita restritas para o usuário que executa o backend. Após a atualização, confirme a correção verificando os logs do sistema em busca de tentativas de acesso não autorizado a arquivos.
Actualice el paquete `@backstage/backend-common` a la versión 0.21.1, 0.20.2 o 0.19.10 o superior. Esto corrige la vulnerabilidad de path traversal causada por la manipulación de symlinks. Ejecute `npm install @backstage/backend-common@latest` o `yarn upgrade @backstage/backend-common@latest` para actualizar.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2024-26150 is a HIGH severity Path Traversal vulnerability affecting @backstage/backend-common versions ≤0.20.0 and <0.20.2. Insufficient path checks allow symlink injection, potentially enabling unauthorized file access.
You are affected if you are using @backstage/backend-common versions 0.20.0 or below, or versions prior to 0.20.2. Check your project dependencies to determine if you are vulnerable.
Upgrade to @backstage/backend-common version 0.21.1 or later. If upgrading is not immediately possible, implement stricter file access controls and input validation.
While no active exploitation campaigns have been publicly reported, the vulnerability is publicly known and a proof-of-concept may be available, increasing the risk of opportunistic attacks.
Refer to the Backstage security advisories and the NVD entry for CVE-2024-26150 for detailed information and updates.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.