PT-2021-19437 · Node.Js+1 · Node.Js+1

Publicado 2021-04-22 · Atualizado 2022-04-18 · CVE-2021-31597

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.4

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

Nome do software vulnerável e versões afetadas

Versões do xmlhttprequest-ssl anteriores à 1.6.1

Descrição

O problema diz respeito à desativação da validação de certificados SSL por padrão no pacote xmlhttprequest-ssl para Node.js. Isso ocorre porque a propriedade rejectUnauthorized, quando existe mas está indefinida, é considerada falsa dentro da função https.request do Node.js, resultando na não rejeição de nenhum certificado.

Recomendações

Para versões anteriores à 1.6.1, atualize para a versão 1.6.1 ou posterior para habilitar a validação adequada do certificado SSL. Como solução alternativa temporária, considere definir a propriedade rejectUnauthorized como true para garantir a validação do certificado.

Exploit

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

AZL-45213

CVE-2021-31597

GHSA-72MH-269X-7MH5

Produtos afetados

Node.Js

Xmlhttprequest-Ssl

Referências · 15

• 🔥 https://people.kingsds.network/wesgarland/xmlhttprequest-ssl-vuln.txt · Exploit
• https://github.com/mjwwit/node-XMLHttpRequest/commit/bf53329b61ca6afc5d28f6b8d2dc2e3ca740a9b2 · Correção
• https://github.com/mjwwit/node-XMLHttpRequest/compare/v1.6.0...1.6.1 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-31597 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-72mh-269x-7mh5 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-31597 · Aviso do Fabricante
• https://t.me/cvenotify/13568 · Publicação no Telegram
• https://cve.org/CVERecord?id=CVE-2021-31597 · Nota de Segurança
• https://ubuntu.com/security/CVE-2021-31597 · Aviso do Fabricante
• https://t.me/true_secator/2858 · Publicação no Telegram
• https://security.netapp.com/advisory/ntap-20210618-0004 · Nota
• https://osv.dev/vulnerability/AZL-45213 · Aviso do Fabricante
• https://t.me/cvenotify/14661 · Publicação no Telegram
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-31597 · Aviso do Fabricante
• https://t.me/cvenotify/16530 · Publicação no Telegram