CVE-2024-37890 是 ws Node.js 服务器中的拒绝服务 (DoS) 漏洞。攻击者可以利用此漏洞通过发送包含大量标头的请求来使服务器崩溃，导致服务不可用。该漏洞影响所有未打补丁的 ws 服务器版本。建议升级至 5.2.4 或更高版本以解决此问题。
此漏洞允许攻击者通过发送精心构造的 HTTP 请求，其中包含超过服务器配置的标头数量限制，从而导致 ws Node.js 服务器崩溃。攻击者无需身份验证即可执行此操作，这使得攻击的范围非常广泛。服务器崩溃会导致服务中断，影响依赖于该服务器的应用程序和用户。由于服务器崩溃，攻击者可能能够阻止关键业务流程，并可能导致数据丢失或损坏，具体取决于服务器的功能。
目前没有公开的漏洞利用代码，但提供的概念验证 (PoC) 证明了该漏洞的可利用性。该漏洞已于 2024 年 6 月 17 日公开披露。由于其相对简单的利用方式，该漏洞可能被广泛扫描和利用。建议密切关注安全社区的动态，并及时采取缓解措施。
Applications and services relying on the ws library in Node.js are at risk, particularly those handling external WebSocket connections. This includes real-time chat applications, game servers, and any system using WebSockets for communication. Development environments using older versions of ws are also vulnerable.
• nodejs / server:
ps aux | grep ws
# Check for versions prior to 5.2.4• nodejs / server:
npm list ws
# Verify version installed• generic web: Examine access logs for requests with an unusually high number of headers. Look for patterns of repeated headers or headers with excessively long values.
disclosure
漏洞利用状态
EPSS
0.54% (68% 百分位)
CISA SSVC
最有效的缓解措施是立即升级到 5.2.4 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制服务器允许的最大标头数量，这可以通过调整 server.maxHeadersCount 配置选项来实现。实施 Web 应用防火墙 (WAF) 或反向代理，以过滤掉包含过多标头的请求。监控服务器资源使用情况，并设置警报以检测异常的标头数量，以便及时发现潜在的攻击。
Actualice la biblioteca ws a la versión 8.17.1 o superior. Si no puede actualizar inmediatamente, considere reducir la longitud máxima permitida de los encabezados HTTP usando las opciones `--max-http-header-size` o `maxHeaderSize`, o establezca `server.maxHeadersCount` a 0 para deshabilitar el límite.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2024-37890 是 ws Node.js 服务器中的一个拒绝服务 (DoS) 漏洞，攻击者可以通过发送包含大量标头的请求来导致服务器崩溃。
如果您正在使用 ws Node.js 服务器的 5.2.4 之前的版本，则可能受到此漏洞的影响。
建议升级到 ws Node.js 服务器的 5.2.4 或更高版本。
虽然目前没有公开的漏洞利用代码，但提供的概念验证 (PoC) 证明了该漏洞的可利用性，因此存在被利用的风险。
请访问 ws Node.js 服务器的官方 GitHub 仓库或相关安全公告页面以获取更多信息。
CVSS 向量