PT-2021-15546 · Unknown · Ssrf-Agent

Sayooj B Kumar · Publicado 2021-11-22 · Atualizado 2021-12-15 · CVE-2021-23718

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do ssrf-agent anteriores à 1.0.5

Descrição

O problema está relacionado a uma falha de falsificação de solicitação do lado do servidor (SSRF) por meio da função defaultIpChecker. Ela não verifica adequadamente se o endereço IP solicitado é privado.

Recomendações

Para versões anteriores à 1.0.5, atualize para a versão 1.0.5 ou posterior para resolver o problema. Como solução temporária, considere desativar a função defaultIpChecker até que um patch esteja disponível.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2021-23718

GHSA-6GWW-QPM6-MC2G

SNYK-JS-SSRFAGENT-1584362

Produtos afetados

Ssrf-Agent

Referências · 10

• 🔥 https://snyk.io/vuln/SNYK-JS-SSRFAGENT-1584362 · Exploit
• https://github.com/welefen/ssrf-agent · Nota
• https://github.com/welefen/ssrf-agent/commit/9607175acd0647d821bae4e8fcc3b712aca3fd2d#diff-e727e4bdf3657fd1d798edcd6b099d6e092f8573cba266154583a746bba0f346 · Nota
• https://github.com/welefen/ssrf-agent/blob/cec2b85fe8886ad6926a247a3e059d8369ec022b/index.js%23L13 · Nota
• https://osv.dev/vulnerability/GHSA-6gww-qpm6-mc2g · Aviso do Fabricante
• https://security.netapp.com/advisory/ntap-20211203-0005 · Nota
• https://osv.dev/vulnerability/CVE-2021-23718 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-23718 · Nota de Segurança
• https://t.me/cvenotify/24157 · Publicação no Telegram
• https://t.me/cibsecurity/32807 · Publicação no Telegram