follow-redirects<1.15.4 主机名验证不当漏洞 (CVE-2023-26159)

漏洞类型 输入验证不恰当 发现时间 2024-01-02 漏洞等级 高危
MPS编号 MPS-2023-5153 CVE编号 CVE-2023-26159 漏洞影响广度 极小

漏洞危害

OSCS 描述
follow-redirects 是用于自动处理 HTTP 和 HTTPS 请求重定向的NPM组件包。
follow-redirects 1.15.4之前版本中的 spreadUrlObject 方法处理以 [ 字符开头的 url 主机名或者其它无效 url 时会调用 url.parse 方法解析攻击者可控的 url 链接。由于 url.parse 方法存在Hostname spoofing漏洞,攻击者可构造恶意的 url 请求进行开放重定向和SSRF攻击,窃取用户信息或进行内网探测等。
参考链接:https://www.oscs1024.com/hd/MPS-2023-5153

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
follow-redirects [0.0.1, 1.15.4) 升级 将 follow-redirects 升级至 1.15.4 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-2023-5153

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-2023-5153

https://nvd.nist.gov/vuln/detail/CVE-2023-26159

https://github.com/follow-redirects/follow-redirects/issues/235

https://github.com/follow-redirects/follow-redirects/commit/7a6567e16dfa9ad18a70bfe91784c28653fbf19d

(0)
上一篇 2024年1月2日 下午4:00
下一篇 2024年1月3日 下午12:00

相关推荐

  • OpenRefine mysql jdbc url 远程代码执行漏洞 (CVE-2023-41887)

    漏洞类型 代码注入 发现时间 2023-09-13 漏洞等级 高危 MPS编号 MPS-mfdx-l1wn CVE编号 CVE-2023-41887 漏洞影响广度 广 漏洞危害 OSCS 描述 OpenRefine(前称:Google Refine)是一个开源的数据清洗和数据转换工具。 OpenRefine 3.7.5之前版本中,由于 extensions/…

    2023年9月14日
    0
  • MLflow<2.9.1 存在SSTI漏洞 (CVE-2023-6709)

    漏洞类型 模板注入 发现时间 2023-12-12 漏洞等级 严重 MPS编号 MPS-sv6t-fu0k CVE编号 CVE-2023-6709 漏洞影响广度 小 漏洞危害 OSCS 描述 MLflow 是用于管理机器学习生命周期的开源平台,recipes 是用于快速构建模型的框架。 MLflow 之前版本中由于直接使用 jinja2 模版引擎加载用户可控…

    2023年12月13日
    0
  • Apache InLong jdbc url敏感参数校验绕过漏洞 (CVE-2023-43668)

    漏洞类型 控制流实现总是不正确 发现时间 2023-10-16 漏洞等级 高危 MPS编号 MPS-v51a-l298 CVE编号 CVE-2023-43668 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache InLong 是开源的高性能数据集成框架,方便业务构建基于流式的数据分析、建模和应用。 由于在mysql jdbc 8.0.11和8.0.1…

    2023年10月17日
    0
  • Node.js HTTP/2 CONTINUATION 拒绝服务漏洞 (CVE-2024-27983)

    漏洞类型 可达断言 发现时间 2024-04-04 漏洞等级 高危 MPS编号 MPS-i9bf-a843 CVE编号 CVE-2024-27983 漏洞影响广度 一般 漏洞危害 OSCS 描述 Node.js 是开源、跨平台的 JavaScript 运行时环境。CONTINUATION泛洪攻击被发现存在于多个HTTP/2协议实现中。 在受影响版本中,由于N…

    2024年4月6日
    0
  • Nacos 集群Raft反序列化漏洞 [有POC]

    漏洞类型 反序列化 发现时间 2023/6/6 漏洞等级 严重 MPS编号 MPS-x09i-fgr6 CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 Nacos是一个用于动态服务发现和配置以及服务管理的平台。攻击者可以在Nacos集群处理某些Jraft请求时利用Hessian进行无限制的反序列化,从而造成远程代码执行。由于Nacos…

    2023年8月30日
    0