Nuxt Image խորհրդատվություն. չնույնականացված հարձակումներ լռելյայն /_ipx երթուղու միջոցով

@nuxt/image-ը լռելյայն գրանցում է /_ipx պատկերի փոխակերպման երթուղին սերվերային տեղակայումներում և սպասարկում է այն ipx-ով: GitHub խորհրդատվությունը ասում է, որ ipx-ում կա ամբողջ թվի գերհոսք (GHSA-qf89-6xm4-66wm) բազմաէջ պատկերները վերծանելիս, ուստի հատուկ պատրաստված աղբյուր պատկերը կարող է վնասել հիշողությունը վերծանման ընթացքում: Աղբյուր պատկերը վերահսկող հարձակվողը կարող է մեկ չնույնականացված հարցմամբ կործանել սերվերային պրոցեսը, իսկ հիշողության վնասումը կարող է թույլ տալ հեռակա կոդի կատարում այդ պրոցեսի արտոնություններով:

Տուժած տեղակայումներ և տարբերակներ

Խնդիրն ազդում է այն տեղակայումների վրա, որտեղ կայքը աշխատում է որպես սերվեր լռելյայն ipx մատակարարով, ուստի /_ipx-ը գրանցվում է առանց կազմաձևման. հարձակվողի վերահսկած պատկերի բայթերը կարող են դառնալ IPX աղբյուր. և /_ipx-ը հասանելի է առանց նույնականացման, ինչը լռելյայն է: Հատուկ մոդիֆիկատոր պետք չէ, և մեկ հարցումը բավական է: Տուժած @nuxt/image տարբերակներն են >= 2.0.0 և < 2.2.1, >= 1.0.0 և < 1.11.2, և >= 0.6.0 և < 1.0.0: Հարթակի պատկերի մատակարար օգտագործող տեղակայումները չեն տուժում, եթե image.ipx-ը նույնպես կազմաձևված չէ. edge կամ worker միջավայրերը, օրինակ Cloudflare Workers-ը, չեն գրանցում երթուղին, իսկ ստատիկ հավաքումները նույնպես չեն գրանցում: Հաղորդված վերարտադրման մեջ սերվերային պրոցեսը աշխատել է որպես root ստանդարտ կոնտեյներում, ինչը գաղտնիքները, սկզբնակոդը և վերբեռնված տվյալները կոնտեյներում հասանելի է դարձրել:

Ուղղված թողարկումներ

Ուղղված է @nuxt/image 2.2.1 և 1.11.2 տարբերակներում, որոնք պահանջում են ուղղված ipx 4.1.0 և 2.1.2 համապատասխանաբար: Մինչև բազմաէջ պատկերի (օրինակ TIFF, GIF, WebP կամ AVIF) բոլոր էջերի վերծանումը, այդ տարբերակները ստուգում են պատկերի ընդհանուր բարձրությունը և մերժում են հարցումը 400 կոդով, եթե այն չափազանց մեծ է: 2.2.1 տարբերակը նաև լռելյայն սահմանափակում է /_ipx-ը տարածված վեբ պատկերի ձևաչափերով. աղբյուր, որի հայտնաբերված ձևաչափը JPEG, PNG, WebP, GIF, SVG, AVIF կամ HEIC չէ, մերժվում է 403 կոդով մինչև վերծանումը: Այլ ձևաչափեր ընդունելու համար սահմանեք image.ipx.allowedInputFormats: Եթե աղբյուրները լիովին վստահելի չեն, խորհուրդ է տրվում միացնել image.ipx.restrictDecoders-ը, որը արգելափակում է բոլոր մյուս ձևաչափերի վերծանիչները. այն գործում է սերվերային պրոցեսում sharp-ի յուրաքանչյուր օգտագործման վրա: Այս երկու տարբերակները հասանելի չեն 1.x-ում: Nuxt Image 0.x-ը հասել է կյանքի ավարտին և ուղղում չի ստանա: ipx-ը ընտրովի կախվածություն է, հետևաբար թարմացումից հետո ստուգեք, որ այն լուծվում է ուղղված տարբերակի, օրինակ npm ls ipx հրամանով, և անմիջապես թարմացրեք, եթե նախագիծը նաև կախված է դրանից:

Լուծումներ և լրջություն

Եթե դեռ չեք կարող թարմացնել, գրանցեք ձեր սեփական սերվերային հենդլերը /_ipx երթուղու վրա, օրինակ 404 վերադարձնող. մոդուլը հայտնաբերում է առկա հենդլերը և իրենը չի տեղադրում: Կարող եք նաև արգելափակել /_ipx/**-ը ձեր reverse proxy-ում, եթե երթուղին պետք չէ: Համոզվեք, որ հարձակվողի վերահսկած բայթերը չեն կարող դառնալ IPX աղբյուր. պահեք վերբեռնումները սպասարկվող հանրային ուղիներից դուրս և սահմանափակեք image.domains-ը ձեր վերահսկած հոսթերով: Վերբեռնումների ֆայլի ընդլայնումը կամ Content-Type-ը ստուգելը բավարար չէ, քանի որ վերծանիչը ընտրվում է ֆայլի բովանդակությունից: allowedModifiers-ով մոդիֆիկատորների սահմանափակումը չի օգնում, քանի որ խնդիրը հասանելի է առանց որևէ մոդիֆիկատորի: Խորհրդատվության լրջությունը High է, ընդհանուր CVSS գնահատականը 8.1 է: CVSS v3-ի հիմնական չափորոշիչները նշում են ցանցային հարձակման վեկտոր, բարձր հարձակման բարդություն, արտոնություններ պահանջված չեն, օգտատիրոջ փոխազդեցություն չկա, շրջանակը անփոփոխ է, ինչպես նաև գաղտնիության, ամբողջականության և հասանելիության բարձր ազդեցություն: Հայտնի CVE չկա: Թույլ կողմը CWE-20 է, անպատշաճ մուտքային տվյալների վավերացում: Կրեդիտները @l8BL-ին են մանրամասն հաղորդման, վերարտադրման և համակարգված բացահայտման համար: Խորհրդատվությունը հրապարակվել է Oct 30, 2026-ին GHSA-p5vf-pjf5-ggj3 ներքո:

Աղբյուրներ. GitHub Advisory · IPX Advisory · Cloudflare · GitHub