protobufjs 中任意代码执行漏洞

此漏洞的影响极其严重，攻击者能够完全控制受影响的应用程序。攻击者可以利用此漏洞执行恶意代码，窃取敏感数据，例如 API 密钥、数据库凭据和用户个人信息。此外，攻击者还可以利用此漏洞进行横向移动，攻击网络中的其他系统。由于该漏洞依赖于攻击者能够提供恶意 protobuf 定义或 JSON 描述符，因此可能需要攻击者控制应用程序的输入或配置。如果应用程序处理来自不受信任来源的 protobuf 数据，则风险会显著增加。

Applications built on Node.js that utilize the protobufjs library, particularly those that load protobuf definitions or JSON descriptors from external or untrusted sources, are at significant risk. This includes microservices, API gateways, and any application that processes data serialized using Protocol Buffers.

• nodejs / supply-chain:

Get-Process | Where-Object {$_.ProcessName -like '*node*'} | Select-Object -ExpandProperty CommandLine | Select-String -Pattern 'require\("protobufjs"\)'

• nodejs / supply-chain:

Get-WinEvent -LogName Application -FilterXPath '//Event[System[Provider[@Name='Node.js']]]'

• generic web: Inspect Node.js application code for instances where protobufjs is used to load descriptors from external sources. • generic web: Review application logs for any errors or warnings related to protobufjs schema parsing or code generation.

1. 2026-04-16Disclosure

   disclosure

1. 已保留2026-04-18
2. 发布日期2026-04-16
3. 修改日期2026-05-04
4. EPSS 更新日期2026-04-26

最有效的缓解措施是立即将 protobufjs 升级至 7.5.5 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：严格验证所有 protobuf 定义和 JSON 描述符，确保它们来自可信来源。实施输入验证和清理机制，以防止恶意代码注入。使用 Web 应用程序防火墙 (WAF) 或代理服务器来检测和阻止恶意请求。监控应用程序日志，查找可疑活动，例如未经授权的代码执行。如果升级导致应用程序中断，请考虑回滚到之前的版本，并尽快修复漏洞。