PT-2024-2689 · Node.Js+4 · Undici+4
T1M0N0
·
Publicado
2024-02-05
·
Atualizado
2025-08-12
·
CVE-2024-24758
CVSS v2.0
5.1
Média
| Vetor | AV:N/AC:H/Au:N/C:P/I:P/A:P |
Nome do software vulnerável e versões afetadas
Versões do Undici anteriores à 5.28.3
Versões do Undici anteriores à 6.6.1
Descrição
O problema está relacionado à proteção insuficiente dos dados de serviço devido à limpeza incorreta dos cabeçalhos
Proxy-Authentication no cliente Undici HTTP/1.1 para Node.js. Isso poderia permitir que um invasor remoto elevasse seus privilégios. Os cabeçalhos Proxy-Authentication não eram limpos em redirecionamentos entre origens, ao contrário dos cabeçalhos Authorization, que já estavam sendo limpos. Não há soluções alternativas conhecidas para este problema.Recomendações
Para versões anteriores à 5.28.3, atualize para a versão 5.28.3 ou posterior.
Para versões anteriores à 6.6.1, atualize para a versão 6.6.1 ou posterior.
Como solução alternativa temporária, considere desativar o uso dos cabeçalhos
Proxy-Authentication no cliente Undici até que um patch seja aplicado.Exploit
Correção
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Astra Linux
Debian
Suse
Undici