CVE-2024-21534-poc

Уязвимость: CVE-2024-21534

Серьезность: Критическая (оценка CVSS: 9.8)

Описание:

Пакет jsonpath-plus (версии <= 10.0.7) уязвим для удаленного выполнения кода (RCE), что позволяет злоумышленникам выполнять произвольный код через модуль VM Node.js. Эта уязвимость вызвана недостаточной проверкой входных данных и затрагивает версии 10.0.7 и ниже.

Воздействие:

Успешная эксплуатация этой уязвимости может привести к полной компрометации затронутой системы.

Меры по смягчению:

1. Обновите jsonpath-plus: Обновите до версии 10.0.8 или выше.
2. Проверка входных данных: Внедрите строгую проверку входных данных для выражений JSONPath, чтобы предотвратить вредоносный ввод.
3. Использование модуля VM: Минимизируйте использование модуля VM и строго контролируйте среду его выполнения.
4. Обновления компонентов: Поддерживайте все зависимости в актуальном состоянии.
5. Межсетевой экран веб-приложений (WAF): Разверните WAF для обнаружения и блокировки веб-атак.
6. Аудиты безопасности: Проводите регулярные аудиты безопасности для выявления и устранения уязвимостей.

Ссылки:

• https://github.com/JSONPath-Plus/JSONPath/issues/226

Примечание:

Эта уязвимость была обнаружена и сообщена Andrea Angelo Raineri.