PT-2024-35378 · Misskey · Misskey

Rectcoordsystem

·

Publicado

2024-12-18

·

Atualizado

2025-11-26

·

CVE-2024-52579

CVSS v3.1

6.4

Média

VetorAV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
Nome do software vulnerável e versões afetadas
Versões do Misskey anteriores à 2024.11.0-alpha.3
Descrição
O Misskey é uma plataforma de mídia social federada de código aberto. Algumas APIs que utilizam HttpRequestService não verificam adequadamente o host de destino. Essa falha permite que um invasor envie solicitações POST ou GET para o servidor interno, o que pode resultar em um ataque de falsificação de solicitação do lado do servidor (SSRF). Isso permite que um invasor envie solicitações POST ou GET (com alguns parâmetros de URL controláveis) para IPs privados, possibilitando novos ataques a servidores internos.
Recomendações
Para versões anteriores à 2024.11.0-alpha.3, atualize para a versão 2024.11.0-alpha.3 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso às APIs que utilizam HttpRequestService até que a atualização seja aplicada. Evite usar parâmetros de URL controláveis nos pontos de extremidade de API afetados até que o problema seja resolvido. No momento, não há soluções alternativas conhecidas para essa vulnerabilidade além da atualização para a versão corrigida.

Exploit

Correção

SSRF

RCE

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-52579
GHSA-5Q3H-WPFW-HJJW

Produtos afetados

Misskey