PT-2024-28409 · Async · Async

Dvasilen · Publicado 2024-07-01 · Atualizado 2025-07-19 · CVE-2024-39249

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões 2.6.4 e anteriores do Async, versões 3.2.5 e anteriores do Async

Descrição

O problema diz respeito a uma vulnerabilidade ReDoS (Negação de Serviço por Expressão Regular) durante a análise de uma função na função autoinject. Observa-se que o fornecedor contesta essa vulnerabilidade, alegando que não há um modelo de ameaça realista, pois expressões regulares não são utilizadas com entradas não confiáveis.

Recomendações

Para as versões 2.6.4 e anteriores do Async, considere atualizar para uma versão posterior à 2.6.4 para resolver o problema.

Para as versões 3.2.5 e anteriores do Async, considere atualizar para uma versão posterior à 3.2.5 para resolver o problema.

Como solução alternativa temporária, considere restringir o uso de expressões regulares com entradas não confiáveis na função autoinject até que um patch esteja disponível.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

CVE-2024-39249

Produtos afetados

Async

Referências · 10

• 🔥❌ https://github.com/zunak/CVE-2024-39249 · Exploit, Deleted
• 🔥❌ https://github.com/zunak/CVE-2024-39249/issues/1 · Exploit, Deleted
• https://github.com/caolan/async/issues/1975#issuecomment-2204528153 · Nota
• https://github.com/caolan/async/blob/v3.2.5/lib/autoInject.js#L41 · Nota
• https://github.com/caolan/async/blob/v3.2.5/lib/autoInject.js#L6 · Nota
• https://cve.org/CVERecord?id=CVE-2024-39249 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2024-39249 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-39249 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-39249 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2024-39249 · Aviso do Fabricante