NodeBB原型污染漏洞可导致账户遭接管

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

用于创建论坛应用的 Node.js 平台 NodeBB，已修复一个原型污染漏洞，它可导致攻击者模拟其它用户并接管管理员账户。该漏洞是由于错误地处理运行时更改对象原型中的 JavaScript 灵活性导致的。

利用套接字

NodeBB 使用JavaScript 库 Socket.IO。该库可使Node.js 应用使用web套接字，赋能客户端和服务器之间的异步、双向通信，异能更加流畅的聊天体验。

然而，NodeBB 开发人员使用的对象定义可导致攻击者错误使用 Socket.IO 的对象。NodeBB的维护人员表示，仅发布关于该漏洞的有限信息，为开发人员更新应用程序争取更多的时间。不过其中一名维护人员 Barış Uşaklı 证实称，“由于该漏洞可导致攻击者模拟其它用户或以管理员权限进行Socket.IO调用，因此会产生巨大影响。”

在默认的NodeBB 程序中，该漏洞可导致未认证用户获得对应用的管理员访问权限。如该实例已通过额外检查如双因素验证启用插件，则漏洞影响更加有限且要求获得对该应用的认证访问权限。

Uşaklı 指出，尚未有证据表明该漏洞已遭在野利用。维护人员在收到漏洞报告当天修复了该漏洞并在第二天修复了位于其托管客户端上的漏洞。

并非一般的原型污染漏洞

如特殊构造的payload（通常是用户提供的输入）可修改JavaScript 对象的原型并修改该应用的行为，则JavaScript应用易受原型污染漏洞影响。

然而，该NodeBB漏洞不同于该漏洞类型中的一般漏洞。发现该漏洞的安全研究员 Stephen Bradshaw 指出，“这并非你正常理解的原型污染漏洞。”

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

推荐阅读

开源论坛软件 NodeBB 中存在多个严重漏洞

Parse Server中的原型污染漏洞可导致RCE

Chromium 原型污染漏洞导致Sanitizer API 被绕过

Node.js 沙箱易受原型污染攻击

关于原型污染漏洞的完整指南

原文链接

https://portswigger.net/daily-swig/nodebb-prototype-pollution-flaw-could-lead-to-account-takeover

题图：Pexels License‍

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

觉得不错，就点个 “在看” 或 "赞” 吧~

NodeBB原型污染漏洞可导致账户遭接管相关推荐

关于原型污染漏洞的完整指南
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士原型污染漏洞是安全社区所知不多的漏洞之一.2017年左右,研究人员开始将其视作一个潜在的攻击向量:2018年,第一批漏洞在野现身.本文将深 ...
谷歌Cloud、Paly 中的XSS 漏洞可导致账户劫持
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士 Google Cloud.DevSite 和 Google Play 中存在几个漏洞,可导致攻击者实施跨站点脚本攻击,导致账户遭劫持. 第一个漏 ...
ERP 平台Sage X3被曝多个严重漏洞，系统可遭接管，存在潜在供应链风险
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士专栏·供应链安全数字化时代,软件无处不在.软件如同社会中的"虚拟人",已经成为支撑社会正常运转的最基本元素之一,软件 ...
jQuery 的“原型污染”安全漏洞
前两周发布的 jQuery 3.4.0 除了常规更新外,更重要的是修复了一个称为"原型污染(prototype pollution)"的罕见安全漏洞. 什么是原型污染?顾名思义,原 ...
Node.js 沙箱易受原型污染攻击
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士研究人员表示,用于测试不可信 JavaScript 代码的沙箱 vm2 中存在一个漏洞,可使恶意人员规避该库的安全控制并执行远程代码执行攻击. ...
Kibana原型污染导致远程执行代码 CVE-2019-7609 漏洞复现
Kibana原型污染导致远程执行代码(CVE-2019-7609) by ADummy 0x00利用路线 0x01漏洞介绍 Kibana是Elasticsearch的开源数据可视化仪表板. 5 ...
施耐德EVlink 电动车充电站有新漏洞，可导致电动车遭劫持
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士施耐耐德电气公司修复了多个新漏洞,可导致 EVlink 电动车充电站遭远程攻击. 施耐德电器公司在12月14日发布补丁,督促客户立即应用补丁或缓 ...
Atlassian 域名被曝一次点击账户接管漏洞可导致供应链攻击
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士专栏·供应链安全数字化时代,软件无处不在.软件如同社会中的"虚拟人",已经成为支撑社会正常运转的最基本元素之一,软件 ...
多个漏洞可导致施耐德电气继电器遭重启或设备遭接管
聚焦源代码安全,网罗国内外最新资讯! 编译:代码卫士施耐德电气公司的某些 Easergy 继电器中存在多个漏洞,可导致黑客禁用电网络的防护措施.该公司已发布补丁. Easergy 中压防护继电器中 ...

NodeBB原型污染漏洞可导致账户遭接管

NodeBB原型污染漏洞可导致账户遭接管相关推荐

最新文章

热门文章