IP包isPublic函数判断不严 (CVE-2023-42282)

漏洞类型 对数据真实性的验证不充分 发现时间 2024-02-09 漏洞等级 中危
MPS编号 MPS-svdp-96t3 CVE编号 CVE-2023-42282 漏洞影响广度

漏洞危害

OSCS 描述
NPM IP包v.1.1.8及之前版本中isPublic()函数针未正确判断16进制形式的IP地址,当应用使用isPublic()函数判断内外网地址时,攻击者可能通过16进制形式(如将127.0.0.1写作0x7f.1)绕过校验,导致出现SSRF漏洞。
参考链接:https://www.oscs1024.com/hd/MPS-svdp-96t3

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
ip [0.0.2, 1.1.8] 缓解措施 限制传入isPublic的参数为ipv4、ipv6格式
参考链接:https://www.oscs1024.com/hd/MPS-svdp-96t3

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-svdp-96t3

https://nvd.nist.gov/vuln/detail/CVE-2023-42282

https://cosmosofcyberspace.github.io/npm_ip_cve/npm_ip_cve.html

(0)
上一篇 2024年2月12日 上午12:00
下一篇 2024年2月16日 下午12:00

相关推荐

  • Node.js child_process.spawn Windows命令注入漏洞 (CVE-2024-27980)

    漏洞类型 参数注入或修改 发现时间 2024-04-11 漏洞等级 严重 MPS编号 MPS-d5b7-omr9 CVE编号 CVE-2024-27980 漏洞影响广度 广 漏洞危害 OSCS 描述 Node.js 是一个基于 Chrome V8 引擎的 JavaScript 运行时环境,用于构建快速、可扩展的网络应用程序。 Windows 的 Create…

    2024年4月12日
    0
  • Apache Hadoop YARN Secure Containers 权限提升漏洞 (CVE-2023-26031)

    漏洞类型 输入验证不恰当 发现时间 2023-11-16 漏洞等级 高危 MPS编号 MPS-2023-4973 CVE编号 CVE-2023-26031 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache Hadoop是美国阿帕奇(Apache)基金会的一套开源的分布式系统基础架构。YARN Secure Containers功能用于在隔离的 lin…

    2023年11月17日
    0
  • Apache IoTDB Sync Tool反序列化漏洞 (CVE-2023-51656)

    漏洞类型 反序列化 发现时间 2023-12-21 漏洞等级 中危 MPS编号 MPS-b5gs-81ux CVE编号 CVE-2023-51656 漏洞影响广度 漏洞危害 OSCS 描述 Apache IoTDB是时序数据的数据管理系统,为用户提供数据采集、存储、分析等特定服务。 在 FileLoaderManager.java 文件的 deSeriali…

    2023年12月22日
    0
  • FFmpeg < 7.0 释放后使用漏洞 (CVE-2024-31578)

    漏洞类型 UAF 发现时间 2024-04-17 漏洞等级 高危 MPS编号 MPS-y94m-eo71 CVE编号 CVE-2024-31578 漏洞影响广度 一般 漏洞危害 OSCS 描述 FFmpeg 是处理多媒体内容的开源库和工具的集合。 FFmpeg < 7.0 版本中,由于av_hwframe_ctx_init函数中错误地假设frames_uni...

    漏洞 2024年4月22日
    0
  • OpenSSL 拒绝服务漏洞 (CVE-2023-6237)

    漏洞类型 对因果或异常条件的不恰当检查 发现时间 2024-01-16 漏洞等级 低危 MPS编号 MPS-x84n-ctrf CVE编号 CVE-2023-6237 漏洞影响广度 一般 漏洞危害 OSCS 描述 OpenSSL 是广泛使用的开源加密库。 在 OpenSSL 3.0.0 到 3.0.12, 3.1.0 到 3.1.4 和 3.2.0 中 ,使…

    2024年1月16日
    0