CVE-2024-21536：http-proxy-middleware拒绝服务漏洞

CVE-2024-21536 影响 2.0.7 之前的版本以及 3.0.0 到 3.0.3 之间的 http-proxy-middleware 包。这是一种由 micromatch 库引发的 UnhandledPromiseRejection 错误导致的拒绝服务 (DoS) 漏洞。攻击者可以通过向特定路径发送特定请求来使 Node.js 进程和服务器崩溃。这可能导致服务中断以及使用 http-proxy-middleware 的 Web 应用程序不可用。CVSS 严重程度评分为 7.5，表明存在高风险。为了降低这种风险，更新包至关重要。

Applications and services relying on http-proxy-middleware as a reverse proxy or API gateway are at risk. This includes Node.js applications using this package for request routing and transformation. Shared hosting environments where multiple applications share the same Node.js process are particularly vulnerable, as a single compromised application could impact all others.

• nodejs / server:

  ps aux | grep 'node' | grep http-proxy-middleware

• nodejs / server:

  npm list http-proxy-middleware

• nodejs / server: Monitor Node.js process logs for UnhandledPromiseRejection errors related to micromatch. • nodejs / server: Use a process monitoring tool (e.g., PM2, systemd) to automatically restart the Node.js process if it crashes.

1. 2024-10-19Disclosure

   disclosure

1. 已保留2023-12-22
2. 发布日期2024-10-19
3. 修改日期2026-02-04
4. EPSS 更新日期2026-04-02

减轻 CVE-2024-21536 的方法是将 http-proxy-middleware 包更新到 2.0.7 或更高版本，或 3.0.3 或更高版本。这可以修复 micromatch 中的 UnhandledPromiseRejection 错误，从而使 DoS 漏洞的利用成为可能。为了保护您的系统，建议尽快执行此更新。此外，请监控服务器日志，查找可能表明利用尝试的异常模式。如果无法立即更新，请考虑实施防火墙规则以限制对易受攻击路由的访问，尽管这不是完整的解决方案。