express-rate-limit — это базовое промежуточное программное обеспечение для ограничения скорости для Express. В версиях, начиная с 8.0.0 и до версий 8.0.2, 8.1.1, 8.2.2 и 8.3.0, генератор ключей по умолчанию в express-rate-limit применяет маскирование подсети IPv6 (по умолчанию /56) ко всем адресам, для которых net.isIPv6() возвращает true. Сюда входят адреса IPv6, сопоставленные с IPv4 (::ffff:x.x.x.x), которые Node.js возвращает как request.ip на серверах с двумя стеками.
Поскольку первые 80 бит всех отображаемых IPv4 адресов равны нулю, маска подсети /56 (или любая от /32 до /80) создает один и тот же сетевой ключ (::/56) для каждого клиента IPv4. Это сжимает весь трафик IPv4 в один сегмент ограничения скорости: один клиент, исчерпающий лимит, вызывает HTTP 429 для всех остальных клиентов IPv4. Эта проблема исправлена в версиях 8.0.2, 8.1.1, 8.2.2 и 8.3.0.
Показать оригинальное описание (EN)
express-rate-limit is a basic rate-limiting middleware for Express. In versions starting from 8.0.0 and prior to versions 8.0.2, 8.1.1, 8.2.2, and 8.3.0, the default keyGenerator in express-rate-limit applies IPv6 subnet masking (/56 by default) to all addresses that net.isIPv6() returns true for. This includes IPv4-mapped IPv6 addresses (::ffff:x.x.x.x), which Node.js returns as request.ip on dual-stack servers. Because the first 80 bits of all IPv4-mapped addresses are zero, a /56 (or any /32 to /80) subnet mask produces the same network key (::/56) for every IPv4 client. This collapses all IPv4 traffic into a single rate-limit bucket: one client exhausting the limit causes HTTP 429 for all other IPv4 clients. This issue has been patched in versions 8.0.2, 8.1.1, 8.2.2, and 8.3.0.
Характеристики атаки
Последствия
Строка CVSS v3.1