CVE-2022-0155 प्रमाण-अवधारणा (PoC)

यह रिपॉजिटरी CVE-2022-0155 भेद्यता का एक प्रदर्शन समाहित करती है। भेद्यता का पता ranjit-git द्वारा लगाया गया था और इसका विस्तृत विवरण यहाँ उपलब्ध है। इस PoC का उद्देश्य यह प्रदर्शित करना है कि भेद्यता केवल उन परिदृश्यों पर लागू नहीं होती जहाँ follow-redirects का उपयोग प्रत्यक्ष निर्भरता के रूप में किया जाता है, बल्कि तब भी जब follow-redirects का उपयोग axios के माध्यम से अप्रत्यक्ष/संक्रामक निर्भरता के रूप में किया जाता है।

अवलोकन

यह भेद्यता follow-redirects npm पैकेज के संस्करण 1.14.7 से पहले के संस्करणों को प्रभावित करती है। Follow-redirects अंतर्निहित HTTP मॉड्यूल को रीडायरेक्ट का अनुसरण करने की क्षमता प्रदान करके विस्तारित करता है।

भेद्यता प्रदर्शित करने के लिए, निम्नलिखित परिदृश्य पर विचार करें:

1. follow-redirects का उपयोग https://example.com पर GET अनुरोध भेजने के लिए किया जाता है।
2. https://example.com एक 3xx प्रतिक्रिया कोड के साथ जवाब देता है जो https://attackers-webserver.com पर रीडायरेक्ट का अनुरोध करता है।
3. फिर follow-redirects https://attackers-webserver.com पर GET अनुरोध भेजता है।

भेद्यता चरण 3 में निहित है, जहाँ follow-redirects के कमजोर संस्करण चरण 1 के अनुरोध के समान हेडर शामिल करते हैं। यह को, उदाहरण के लिए, पर उपयोगकर्ता के सत्र आईडी को चुराने और उपयोगकर्ता के डेटा तक पहुँच प्राप्त करने की अनुमति देता है।