CVE-2024-21534-poc

कमजोरी: CVE-2024-21534

गंभीरता: गंभीर (CVSS स्कोर: 9.8)

विवरण:

jsonpath-plus पैकेज (संस्करण <= 10.0.7) एक रिमोट कोड निष्पादन (RCE) कमजोरी के प्रति संवेदनशील है जो हमलावरों को Node.js के VM मॉड्यूल के माध्यम से मनमाना कोड निष्पादित करने की अनुमति देता है। यह कमजोरी अपर्याप्त इनपुट सत्यापन के कारण होती है और संस्करण 10.0.7 और उससे नीचे को प्रभावित करती है।

प्रभाव:

इस कमजोरी का सफल शोषण प्रभावित सिस्टम के पूर्ण समझौता का कारण बन सकता है।

शमन:

1. jsonpath-plus को अपग्रेड करें: संस्करण 10.0.8 या बाद में अपडेट करें।
2. इनपुट सत्यापन: दुर्भावनापूर्ण इनपुट को रोकने के लिए JSONPath एक्सप्रेशन के लिए सख्त इनपुट सत्यापन लागू करें।
3. VM मॉड्यूल उपयोग: VM मॉड्यूल के उपयोग को कम करें और इसके निष्पादन वातावरण को सख्ती से नियंत्रित करें।
4. घटक अद्यतन: सभी निर्भरताओं को अद्यतित रखें।
5. वेब एप्लिकेशन फ़ायरवॉल (WAF): वेब हमलों का पता लगाने और ब्लॉक करने के लिए WAF तैनात करें।
6. सुरक्षा ऑडिट: कमजोरियों की पहचान और सुधार के लिए नियमित सुरक्षा ऑडिट करें।

संदर्भ:

• https://github.com/JSONPath-Plus/JSONPath/issues/226

नोट:

यह कमजोरी Andrea Angelo Raineri द्वारा खोजी और रिपोर्ट की गई थी।