CVE-2021-23438: Prototype Pollution in mpath Package

プロトタイプ_pollution_脆弱性 影響を受けるパッケージとバージョン パッケージ: mpath バージョン: <0.8.4 脆弱性の詳細 CVE: CVE-2021-23438 CWE: CWE-1321 導入日: 2021年9月1日 深刻度: 5.6 (Medium) 修正方法 アップグレード: mpath をバージョン 0.8.4 以降にアップグレードしてください。 概要 説明: 影響を受けるバージョンの mpath パッケージは、プロトタイプ汚染（Prototype Pollution）の一種であるタイプ混乱（type confusion）の脆弱性に影響を受けます。 PoC: の汚染を使用した脆弱性エクスプロイトの実証。 詳細: プロトタイプ汚染とその発生方法、例えば安全ではないオブジェクトの再帰的マージやパスによるプロパティ定義について説明します。 攻撃の種類 サービス拒否（DoS）: 攻撃者がプロトタイプチェーンを変更することでサービス妨害を引き起こす可能性があります。 リモートコード実行: コードベース内の属性評価を通じて、特定の条件下で可能です。 プロパティインジェクション: 特権昇格やセキュリティプロパティの変更のためにプロパティを操作します。 影響を受ける環境 アプリケーションサーバー ウェブサーバー ウェブブラウザ 予防策 1. を使用してプロトタイプを凍結します。 2. JSON 入力に対してスキーマ検証を要求します。 3. 安全ではない再帰的マージ関数を避けます。 4. プロトタイプを持たないオブジェクトの使用を検討します。 5. の代わりに を使用します。 参照 GitHub コミット Snyk ブログ CVSS ベーススコア Snyk: 5.6 (Medium) NVD: 9.8 (Critical) Red Hat: 5.6 (Medium)

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2021-23438: Prototype Pollution in mpath Package

目標達成すべての支援者に感謝 — 100%達成しました！