PT-2021-11909 · Engine.Io · Engine.Io

Bcaller · Publicado 2021-01-07 · Atualizado 2022-02-09 · CVE-2020-36048

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

**Nome do software vulnerável e versões afetadas:

Versões do Engine.IO anteriores à 4.0.0

Descrição:

A vulnerabilidade permite que invasores provoquem uma negação de serviço por meio de uma solicitação POST ao protocolo de transporte de long polling, resultando no consumo de recursos. Isso pode ser feito enviando uma solicitação POST ao endpoint “/longpolling”, embora o endpoint exato não seja explicitamente mencionado nas descrições fornecidas.

Recomendações:

Para versões anteriores à 4.0.0, atualize para a versão 4.0.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao transporte de long polling para minimizar o risco de exploração.

Exploit

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

AZL-44673

CVE-2020-36048

GHSA-J4F2-536G-R55M

Produtos afetados

Engine.Io

Referências · 11

• 🔥 https://blog.caller.xyz/socketio-engineio-dos · Exploit
• https://github.com/socketio/engine.io · Nota
• https://github.com/socketio/engine.io/commit/58e274c437e9cbcf69fd913c813aad8fbd253703 · Nota
• https://github.com/socketio/engine.io/commit/734f9d1268840722c41219e69eb58318e0b2ac6b · Correção
• https://github.com/bcaller/kill-engine-io · Nota
• https://t.me/cibsecurity/21800 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-36048 · Aviso do Fabricante
• https://t.me/cvenotify/8308 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-36048 · Nota de Segurança
• https://osv.dev/vulnerability/AZL-44673 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-j4f2-536g-r55m · Aviso do Fabricante