Vulnerabilidad en Fluture-Node (CVE-2022-24719)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

01/03/2022

Última modificación:

03/07/2023

Descripción

Fluture-Node es una utilidad HTTP y de streaming de estilo FP para Node basada en Fluture. Usando "followRedirects" o "followRedirectsWith" con cualquiera de las estrategias de redireccionamiento incorporadas en fluture-node versiones 4.0.0 o 4.0. 1, junto con una petición que incluya encabezados confidenciales como Authorization o Cookie, le expone a una vulnerabilidad en la que, si el servidor de destino redirigiera la petición a un servidor en un dominio de terceros, o al mismo dominio a través de HTTP sin cifrar, los encabezados podrían ser incluidos en la petición de seguimiento y quedarían expuestas a terceros, o a un potencial husmeo del tráfico http. Las estrategias de redireccionamiento disponibles en la versión 4.0.2 redactan automáticamente los encabezados confidenciales cuando es seguido un redireccionamiento a otro origen. Se ha identificado una medida de mitigación mediante el uso de una estrategia de redireccionamiento personalizada por medio de la función "followRedirectsWith". La estrategia personalizada puede basarse en las nuevas estrategias disponibles en fluture-node@4.0.2.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.10 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Obligatorio
Alcance (S): Modificado
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

6.10

Gravedad 3.x

MEDIA

Vector 2.0

AV:N/AC:M/Au:N/C:P/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.80 MEDIA
Vector: AV:N/AC:M/Au:N/C:P/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno