PT-2024-4071 · Node.Js+2 · Ip+3

Ouuan · Publicado 2024-05-06 · Atualizado 2026-06-04 · CVE-2024-29415

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas:

Versões do pacote ip até a 2.0.1 para Node.js

Descrição:

O problema está relacionado à classificação incorreta de determinados endereços IP como roteáveis globalmente por meio da função isPublic(), o que pode permitir ataques de falsificação de solicitação do lado do servidor (SSRF). Isso se deve a uma correção incompleta de um problema anterior. A vulnerabilidade pode ser explorada por um invasor remoto para realizar ataques SSRF. Estima-se que milhões de dispositivos estejam potencialmente afetados.

Recomendações:

Para versões do pacote ip até a 2.0.1, considere desativar a função isPublic() até que um patch esteja disponível para prevenir possíveis ataques SSRF.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

SSRF

Enumeração de Fraquezas

CWE-918

CWE-941

Identificadores relacionados

BDU:2024-04518

CVE-2024-29415

GHSA-2P57-RM9W-GVFP

Produtos afetados

Bitbucket

Confluence

Debian

Ip

Referências · 36

• https://github.com/indutny/node-ip/pull/143 · Nota
• https://github.com/indutny/node-ip/issues/150 · Nota
• https://github.com/indutny/node-ip/pull/144 · Nota
• https://github.com/indutny/node-ip · Nota
• https://t.me/CVEtracker/32586 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2024-29415 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-2p57-rm9w-gvfp · Aviso do Fabricante
• https://github.com/advisories/GHSA-2p57-rm9w-gvfp · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-29415 · Nota de Segurança
• https://ubuntu.com/security/CVE-2024-29415 · Aviso do Fabricante
• https://t.me/cvenotify/81100 · Publicação no Telegram
• https://twitter.com/ravirockks/status/1823586912021459399 · Publicação no Twitter
• https://twitter.com/felipecruz/status/1809145402446254576 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2024-04518 · Nota de Segurança
• https://cve.org/CVERecord?id=CVE-2024-29415 · Nota de Segurança