CVE-2024-23657 是 Nuxt Devtools 中的路径遍历漏洞。该漏洞允许攻击者通过利用 getTextAssetContent RPC 函数的身份验证缺失和 WebSocket 处理程序中缺乏 Origin 检查来窃取数据。受影响的版本包括 Nuxt Devtools 1.3.9 及更早版本。建议立即升级至 1.3.9 版本以修复此漏洞。
该漏洞的潜在影响非常严重。攻击者可以利用 getTextAssetContent RPC 函数的身份验证缺失，通过构造恶意请求访问服务器上的任意文件。由于 WebSocket 处理程序缺乏 Origin 检查，攻击者可以与本地运行的 devtools 实例交互，并窃取敏感数据。更严重的是，在特定配置下，攻击者可能泄露 devtools 身份验证令牌，并利用其他 RPC 函数实现远程代码执行 (RCE)。这可能导致攻击者完全控制受影响的系统，窃取数据、安装恶意软件或进行其他恶意活动。该漏洞的发现和利用可能导致严重的业务中断和数据泄露。
CVE-2024-23657 已于 2024 年 8 月 5 日公开披露。目前，尚无已知的公开利用程序 (PoC)，但该漏洞的严重性表明攻击者可能会迅速开发利用程序。该漏洞尚未被添加到 CISA KEV 目录，但其潜在影响表明可能在未来被添加到该目录。建议密切关注安全社区的动态，并及时采取缓解措施。
Development teams using Nuxt.js and relying on Nuxt Devtools for debugging and development are at risk. Specifically, those using older versions of Nuxt Devtools (≤ 1.3.9) and those with development environments exposed to untrusted networks are particularly vulnerable. Shared hosting environments where multiple developers share a single Nuxt Devtools instance also present an increased risk.
• nuxt: Examine WebSocket traffic for requests to the getTextAssetContent endpoint without proper authentication.
# Example using tcpdump (adjust interface and filter as needed)
tcpdump -i any -s 0 'tcp port 8080 and "getTextAssetContent"'• generic web: Monitor access logs for unusual file requests originating from the devtools WebSocket handler.
grep -i 'GET /_nuxt/devtools/getTextAssetContent' access.log• generic web: Check response headers for unexpected content types or error codes when accessing the getTextAssetContent endpoint.
• generic web: Inspect the Nuxt Devtools configuration for any exposed or insecure settings.
disclosure
漏洞利用状态
EPSS
1.62% (82% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是立即将 Nuxt Devtools 升级至 1.3.9 或更高版本。如果升级会导致应用程序中断，可以考虑回滚到之前的稳定版本，并实施额外的安全措施。由于该漏洞涉及 WebSocket 处理程序，建议审查 WebSocket 相关的配置，确保 Origin 检查已启用。此外，可以考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意请求，并限制对 getTextAssetContent RPC 函数的访问。监控 devtools 日志，查找异常活动，并配置入侵检测系统 (IDS) 以检测潜在的攻击。
Actualice Nuxt Devtools a la versión 1.3.9 o superior. Esta versión corrige la vulnerabilidad de path traversal y la falta de validación del origen en el WebSocket. La actualización evitará que atacantes remotos accedan a archivos arbitrarios y potencialmente ejecuten código en su sistema.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-23657 是 Nuxt Devtools 中的一个路径遍历漏洞，允许攻击者访问服务器上的任意文件。该漏洞影响 Nuxt Devtools 版本 ≤ 1.3.9。
如果您正在使用 Nuxt Devtools 版本 ≤ 1.3.9，则您可能受到此漏洞的影响。请立即升级至 1.3.9 或更高版本。
最有效的修复方法是升级至 Nuxt Devtools 1.3.9 或更高版本。
目前尚无已知的公开利用程序，但由于漏洞的严重性，攻击者可能会迅速开发利用程序。
请访问 Nuxt 官方网站或 GitHub 仓库，查找有关 CVE-2024-23657 的安全公告。