Версии @fastify/http-proxy до 11.6.2 не проверяют прокси-пути HTTP-запросов для точечных сегментов на основе обратной косой черты перед их пересылкой в настроенный восходящий поток. Обработчик простого HTTP-запроса пропускает проверку места назначения, которую выполняет путь WebSocket, а базовая библиотека ответа от отклоняет только обход прямой косой черты, поэтому запрос, содержащий точечные сегменты обратной косой черты, может выйти за границу, установленную параметрами prefix и rewritePrefix. Сетевой злоумышленник, не прошедший проверку подлинности, может использовать это для доступа к восходящим путям, которые должны были оставаться скрытыми за прокси-сервером, что приведет к раскрытию внутренних конечных точек.
Это проблема обхода пути (CWE-22). Пользователям следует обновиться до @fastify/http-proxy 11.6.2 или более поздней версии.
Показать оригинальное описание (EN)
@fastify/http-proxy versions before 11.6.2 do not validate proxied HTTP request paths for backslash based dot-segments before forwarding them to the configured upstream. The plain HTTP request handler skips the destination validation that the WebSocket path performs, and the underlying reply-from library only rejects forward-slash traversal, so a request containing backslash dot-segments can escape the boundary set by the prefix and rewritePrefix options. An unauthenticated network attacker can use this to reach upstream paths that were meant to stay hidden behind the proxy, resulting in disclosure of internal endpoints. This is a path traversal issue (CWE-22). Users should upgrade to @fastify/http-proxy 11.6.2 or later.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Fastify Fastify\/Http-Proxy
cpe:2.3:a:fastify:fastify\/http-proxy:*:*:*:*:*:node.js:*:*
|
— |
11.6.2
|