PT-2022-17426 · Mongoose · Mongoose

Vkarpov15 · Publicado 2022-07-28 · Atualizado 2024-03-12 · CVE-2022-2564

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.0

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:H

Nome do software vulnerável e versões afetadas

Versões do mongoose anteriores à 6.4.6

Descrição

O problema diz respeito a uma vulnerabilidade de “Prototype Pollution” no pacote mongoose, uma ferramenta de modelagem de objetos do MongoDB. Essa vulnerabilidade afeta a função Schema.path(), permitindo a modificação do protótipo do objeto, o que poderia potencialmente levar a um ataque de Negação de Serviço (DoS).

Recomendações

Para versões anteriores à 6.4.6, atualize para a versão 6.4.6 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso da função Schema.path() até que um patch seja aplicado.

Exploit

Correção

Prototype Pollution

Enumeração de Fraquezas

CWE-1321

Identificadores relacionados

BIT-MONGOOSE-2022-2564

CVE-2022-2564

GHSA-F825-F98C-GJ3G

Produtos afetados

Mongoose

Referências · 15

• 🔥 https://github.com/Automattic/mongoose/blob/51e758541763b6f14569744ced15cc23ab8b50c6/lib/schema.js#L88-L141 · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/2xxx/CVE-2022-2564.json · Exploit
• 🔥 https://huntr.dev/bounties/055be524-9296-4b2f-b68d-6d5b810d1ddd · Exploit
• https://github.com/Automattic/mongoose/blob/master/CHANGELOG.md · Nota
• https://github.com/automattic/mongoose/commit/a45cfb6b0ce0067ae9794cfa80f7917e1fb3c6f8 · Correção
• https://github.com/Automattic/mongoose/compare/6.4.5...6.4.6 · Correção
• https://github.com/Automattic/mongoose/commit/99b418941e2fc974199b8e5bd9d382bb50bf680a · Nota
• https://github.com/automattic/mongoose · Nota
• https://osv.dev/vulnerability/CVE-2022-2564 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-2564 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-mongoose-2022-2564 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-f825-f98c-gj3g · Aviso do Fabricante
• https://t.me/cvenotify/73596 · Publicação no Telegram
• https://t.me/cibsecurity/47245 · Publicação no Telegram
• https://t.me/cvenotify/33956 · Publicação no Telegram