CVE-2019-10196

Niezainicjowany bufor w http-proxy-agent — wyciek danych i DoS

CVSS 9.8v3.1pub. 2021-03-19upd. 2024-11-21

W bibliotece http-proxy-agent w wersjach przed 2.1.0 odkryto podatność polegającą na przekazywaniu parametru uwierzytelniającego bezpośrednio do konstruktora Buffer bez odpowiedniej sanityzacji. Może to prowadzić do wycieku danych z niezainicjowanej pamięci oraz do ataku typu DoS poprzez wyczerpanie zasobów CPU.

▸ Pokaż oryginał (EN)

A flaw was found in http-proxy-agent, prior to version 2.1.0. It was discovered http-proxy-agent passes an auth option to the Buffer constructor without proper sanitization. This could result in a Denial of Service through the usage of all available CPU resources and data exposure through an uninitialized memory leak in setups where an attacker could submit typed input to the auth parameter.

🤖 Analiza AI

Jak działa

Biblioteka http-proxy-agent przekazuje opcję auth do konstruktora Buffer bez walidacji i oczyszczania danych wejściowych. Jeśli atakujący jest w stanie dostarczyć kontrolowane dane do parametru auth (np. wartość liczbową zamiast ciągu znaków), konstruktor Buffer może zaalokować bufor o określonym rozmiarze wypełniony niezainicjowaną pamięcią (CWE-665). Powoduje to dwa efekty: ujawnienie potencjalnie wrażliwych danych z pamięci procesu oraz możliwość wywołania stanu DoS przez maksymalne wykorzystanie dostępnych zasobów CPU.

Skutki

Atakujący może doprowadzić do całkowitego wyczerpania zasobów CPU serwera (DoS) oraz odczytać potencjalnie wrażliwe dane z niezainicjowanej pamięci procesu Node.js, co grozi ujawnieniem poufnych informacji.

Mitygacja

Należy zaktualizować bibliotekę http-proxy-agent do wersji 2.1.0 lub nowszej. Użytkownicy dystrybucji Red Hat i Fedora powinni zastosować patche dostępne u producenta zgodnie z referencjami (bugzilla.redhat.com/show_bug.cgi?id=1567245).

Kogo dotyczy

http-proxy-agent w wersjach przed 2.1.0; pakiety dostarczane w ramach Red Hat Software Collections, Red Hat Enterprise Linux oraz Fedora zawierające podatną wersję biblioteki.

Uwagi

Pomimo oceny CVSS 9.8 (CRITICAL), podatność nie figuruje w katalogu CISA KEV. Możliwość wykorzystania zależy od tego, czy atakujący ma możliwość dostarczenia typowanego wejścia do parametru auth w danej konfiguracji aplikacji.