Vulnerabilidad en NestJS Proxy (CVE-2022-31069)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

15/06/2022

Última modificación:

05/07/2022

Descripción

NestJS Proxy es un módulo de NestJS para decorar y proxy llamadas. En versiones anteriores a 0.7.0, la biblioteca nestjs-proxy no presentaba una forma de controlar cuando los encabezados de autorización debían ser reenviadas para servicios backend específicos configurados por el desarrollador de la aplicación. Esto podría haber resultado en que la información confidencial, como los tokens de acceso del portador OAuth, fueran expuestos inadvertidamente a dichos servicios que no deberían verlos. Ha sido introducida una nueva característica en la versión parcheada de nestjs-proxy que permite a desarrolladores de aplicaciones optar por no reenviar los encabezados de autorización en función de cada servicio usando el ajuste de configuración "forwardToken". Es recomendado a desarrolladores revisar el README de esta biblioteca en Github o NPM para obtener más detalles sobre cómo puede aplicarse esta configuración. Este problema ha sido corregido en versión 0.7.0 de "@finastra/nestjs-proxy". Es advertido a usuarios de "@ffdc/nestjs-proxy" que este paquete ha quedado obsoleto y ya no es mantenido ni recibe actualizaciones. Dichos usuarios deben actualizar su archivo package.json para usar "@finastra/nestjs-proxy" en su lugar

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:N/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 2.0

5.00

Gravedad 2.0

MEDIA

Productos y versiones vulnerables

CPE	Desde	Hasta
cpe:2.3:a:finastra:nestjs-proxy::::::node.js::*		0.7.0 (excluyendo)
cpe:2.3:a:nestjs-proxy_project:nestjs-proxy::::::node.js::*		0.4.0 (incluyendo)

Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página

Vulnerabilidad en NestJS Proxy (CVE-2022-31069)

Descripción

Impacto

Productos y versiones vulnerables

Referencias a soluciones, herramientas e información