Nuxt Image məsləhəti: standart /_ipx marşrutu ilə autentifikasiyasız hücumlar

@nuxt/image server qurulumlarında /_ipx şəkil çevirmə marşrutunu standart olaraq qeydiyyatdan keçirir və ipx ilə xidmət edir. GitHub məsləhətinə görə ipx-də çoxsəhifəli şəkilləri dekodlaşdırarkən tam ədəd daşması (GHSA-qf89-6xm4-66wm) mövcuddur; xüsusi hazırlanmış mənbə şəkil dekodlaşdırma zamanı yaddaşı korlaya bilər. Hücumçu mənbə şəkilə nəzarət edərsə, bir autentifikasiyasız sorğu server prosesini çökə bilər; yaddaş korlanması həmin prosesin səlahiyyətləri ilə uzaqdan kod icrasına yol aça bilər.

Təsirlənən qurulumlar və versiyalar

Problem sayt server kimi işləyən, standart ipx provayderi istifadə edən və /_ipx-i konfiqurasiyasız qeydiyyatdan keçirən qurulumlara təsir edir; hücumçuya məxsus şəkil baytları IPX mənbəyinə çevrilə bilər; /_ipx standart olaraq autentifikasiyasızdır. Xüsusi modifier lazım deyil, tək sorğu kifayətdir. Təsirlənən @nuxt/image versiyaları: >= 2.0.0 və < 2.2.1, >= 1.0.0 və < 1.11.2, >= 0.6.0 və < 1.0.0. Platforma şəkil provayderi istifadə edən qurulumlar təsirlənmir, əgər image.ipx konfiqurasiya edilməyibsə; edge və ya worker mühitləri, məsələn Cloudflare Workers, marşrutu qeydiyyatdan keçirmir, statik build-lər də onu qeydiyyatdan keçirmir. Reproduksiyada server prosesi standart konteynerdə root kimi işləyirdi; konteynerdəki sirrlər, mənbə kodu və yüklənmiş məlumatlar əlçatan idi.

Patch edilmiş buraxılışlar

@nuxt/image 2.2.1 və 1.11.2-də düzəldilib; uyğun olaraq yenilənmiş ipx 4.1.0 və 2.1.2 tələb edir. TIFF, GIF, WebP və ya AVIF kimi çoxsəhifəli şəkilin bütün səhifələrini dekodlamadan əvvəl bu versiyalar şəkilin ümumi hündürlüyünü yoxlayır və çox böyükdürsə sorğunu 400 ilə rədd edir. 2.2.1 standart olaraq /_ipx-i adi veb şəkil formatlarına məhdudlaşdırır: aşkarlanan formatı JPEG, PNG, WebP, GIF, SVG, AVIF və ya HEIC olmayan mənbə dekodlamadan əvvəl 403 ilə rədd edilir. Digər formatları qəbul etmək üçün image.ipx.allowedInputFormats təyin edin. Mənbələr tam etibarlı deyilsə, image.ipx.restrictDecoders-i aktiv edin; bu, digər format dekoderlərini bloklayır və server prosesindəki sharp-a tətbiq olunur. Bu iki seçim 1.x-də yoxdur. Nuxt Image 0.x dəstəyin sonuna çatıb və düzəliş almayacaq. ipx istəyə bağlıdır; yeniləmədən sonra düzəldilmiş versiyaya həll olunduğunu yoxlayın (npm ls ipx) və layihə də ondan asılıdırsa birbaşa yeniləyin.

Həll yolları və ciddilik dərəcəsi

Yeniləyə bilmirsinizsə, /_ipx-də öz server handler-inizi qeydiyyatdan keçirin (məsələn 404 qaytaran); modul mövcud handler-i aşkar edir və öz handler-ini quraşdırmır. Marşrut lazım deyilsə, /_ipx/**-i reverse proxy-də bloklayın. Hücumçuya məxsus baytların IPX mənbəyinə çevrilməsinin qarşısını alın: yükləmələri xidmət edilən public yollarından kənarda saxlayın və image.domains-i nəzarət etdiyiniz hostlarla məhdudlaşdırın. Fayl uzantısına və ya Content-Type-a baxmaq kifayət deyil, çünki dekoder faylın məzmunundan seçilir. allowedModifiers ilə modifier-ləri məhdudlaşdırmaq kömək etmir, çünki problem modifiersiz də əlçatandır. Ciddilik High, ümumi CVSS balı 8.1. CVSS v3: şəbəkə vektoru, yüksək mürəkkəblik, imtiyaz və istifadəçi təsiri yox, dəyişməz əhatə, yüksək gizlilik, bütövlük, əlçatanlıq. Məlum CVE yoxdur. Zəiflik CWE-20, Improper Input Validation. Kreditlər ətraflı hesabat, reproduksiya və koordinasiyalı açıqlama üçün @l8BL-yə verilir. Məsləhət 30 oktyabr 2026-cı ildə GHSA-p5vf-pjf5-ggj3 altında dərc edilib.

Mənbələr: GitHub Məsləhəti · IPX Məsləhəti · Cloudflare · GitHub