CVE-2024-21534-poc

脆弱性: CVE-2024-21534

深刻度: 重大 (CVSSスコア: 9.8)

説明:

jsonpath-plus パッケージ (バージョン 10.0.7 以下) は、攻撃者が Node.js の VM モジュールを介して任意のコードを実行できるようにするリモートコード実行 (RCE) の脆弱性の影響を受けます。この脆弱性は不十分な入力検証に起因し、バージョン 10.0.7 以下に影響します。

影響:

この脆弱性が悪用されると、影響を受けるシステムが完全に侵害される可能性があります。

緩和策:

1. jsonpath-plus のアップグレード: バージョン 10.0.8 以降に更新してください。
2. 入力検証: 悪意のある入力を防ぐために、JSONPath 式に対する厳格な入力検証を実装してください。
3. VM モジュールの使用: VM モジュールの使用を最小限に抑え、その実行環境を厳密に制御してください。
4. コンポーネントの更新: すべての依存関係を最新の状態に保ってください。
5. Web アプリケーションファイアウォール (WAF): WAF を導入して Web 攻撃を検出およびブロックしてください。
6. セキュリティ監査: 定期的なセキュリティ監査を実施して脆弱性を特定し修正してください。

参考情報:

• https://github.com/JSONPath-Plus/JSONPath/issues/226

注記:

この脆弱性は Andrea Angelo Raineri によって発見され報告されました。