PT-2024-2954 · Node.Js+3 · Undici+3

Linzi Shang

+1

·

Publicado

2024-04-04

·

Atualizado

2025-08-12

·

CVE-2024-30260

CVSS v2.0

4.6

Média

VetorAV:N/AC:H/Au:S/C:P/I:P/A:P
Nome do software vulnerável e versões afetadas
Versões do Undici anteriores à 5.28.4
Versões do Undici anteriores à 6.11.1
Descrição
O problema está relacionado ao cliente Undici HTTP/1.1 para Node.js, que apresenta uma falha no procedimento de autorização. Especificamente, o Undici limpa os cabeçalhos Authorization e Proxy-Authorization para fetch(), mas não o faz para undici.request(). Isso poderia permitir que um invasor remoto executasse código arbitrário.
Recomendações
Para versões anteriores à 5.28.4, atualize para a versão 5.28.4 ou posterior.
Para versões anteriores à 6.11.1, atualize para a versão 6.11.1 ou posterior.
Como solução temporária, considere usar fetch() em vez de undici.request().
Como alternativa, desative maxRedirections para minimizar o risco de exploração.

Exploit

Correção

Information Disclosure

Incorrect Authorization

Improper Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

AZL-39734
AZL-39803
BDU:2024-03121
CVE-2024-30260
GHSA-M4V8-WQVR-P9F7
OESA-2024-2174
OPENSUSE-SU-2024:13850-1
OPENSUSE-SU-2024:13851-1
OPENSUSE-SU-2024:13852-1
OPENSUSE-SU-2024_1301-1
OPENSUSE-SU-2024_1309-1
OPENSUSE-SU-2024_1837-1
SUSE-SU-2024:1301-1
SUSE-SU-2024:1307-1
SUSE-SU-2024:1309-1
SUSE-SU-2024:1836-1
SUSE-SU-2024:1837-1
SUSE-SU-2024_1836-1

Produtos afetados

Astra Linux
Debian
Suse
Undici