Nuxt Image danışması: varsayılan /_ipx rotası üzerinden kimlik doğrulamasız saldırılar

@nuxt/image, sunucu dağıtımlarında /_ipx görüntü dönüştürme rotasını varsayılan olarak kaydeder ve bunu ipx ile sunar. Bir GitHub danışması, çok sayfalı görüntüleri çözümlerken ipx'te bir tamsayı taşması (GHSA-qf89-6xm4-66wm) olduğunu söylüyor; bu nedenle hazırlanmış bir kaynak görüntü, çözümlenme sırasında belleği bozabilir. Kaynak görüntü üzerinde denetim sahibi bir saldırgan, sunucu sürecini çökertmek için kimlik doğrulamasız tek bir istek kullanabilir ve bellek bozulması, o sürecin ayrıcalıklarıyla uzaktan kod çalıştırma olanağı sağlayabilir.

Etkilenen dağıtımlar ve sürümler

Sorun, sitenin varsayılan ipx sağlayıcısıyla sunucu olarak çalıştığı dağıtımları etkiler; böylece /_ipx yapılandırma olmadan kaydedilir; saldırgan denetimindeki görüntü baytları bir IPX kaynağı haline gelebilir; ve varsayılan olarak kimlik doğrulamasız erişilebilir olan /_ipx rotasına erişilebilir. Özel bir değiştirici gerekmez ve tek bir istek yeterlidir. Etkilenen @nuxt/image sürümleri >= 2.0.0 ve < 2.2.1, >= 1.0.0 ve < 1.11.2 ve >= 0.6.0 ve < 1.0.0 sürümleridir. Bir platform görüntü sağlayıcısı kullanılan dağıtımlar, image.ipx de yapılandırılmadığı sürece etkilenmez; Cloudflare Workers gibi uç veya worker çalışma ortamları rotayı kaydetmez ve statik derlemeler de kaydetmez. Bildirilen yeniden üretmede sunucu süreci stok bir kapsayıcıda root olarak çalışıyordu; bu da sırları, kaynak kodu ve kapsayıcıdaki yüklenen verileri erişilebilir kılıyordu.

Yamalı sürümler

Sorun, yamalı ipx 4.1.0 ve 2.1.2 gerektiren @nuxt/image 2.2.1 ve 1.11.2 sürümlerinde giderilmiştir. TIFF, GIF, WebP veya AVIF gibi çok sayfalı bir görüntünün tüm sayfalarını çözümlemeden önce bu sürümler görüntünün toplam yüksekliğini denetler ve çok büyükse isteği 400 ile reddeder. 2.2.1 sürümü ayrıca /_ipx rotasını varsayılan olarak yaygın web görüntü biçimleriyle sınırlar: algılanan biçimi JPEG, PNG, WebP, GIF, SVG, AVIF veya HEIC olmayan bir kaynak, çözümlenmeden önce 403 ile reddedilir. Diğer biçimleri kabul etmek için image.ipx.allowedInputFormats ayarlayın. Kaynaklar tam olarak güvenilir değilse, danışma ayrıca image.ipx.restrictDecoders etkinleştirmeyi önerir; bu seçenek diğer tüm biçimlerin çözücülerini engeller ve sunucu sürecindeki sharp kullanımının tamamına uygulanır. Bu iki seçenek 1.x üzerinde kullanılamaz. Nuxt Image 0.x ömrünün sonuna ulaşmıştır ve düzeltme almayacaktır. ipx isteğe bağlı bir bağımlılıktır; bu nedenle yükseltmeden sonra npm ls ipx gibi bir komutla yamalı bir sürüme çözümlendiğini denetleyin ve proje aynı zamanda buna bağımlıysa doğrudan yükseltin.

Geçici çözümler ve önem derecesi

Henüz yükseltemiyorsanız /_ipx rotası üzerinde kendi sunucu işleyicinizi kaydedin; örneğin 404 döndüren bir işleyici; modül mevcut bir işleyici algılar ve kendi işleyicisini kurmaz. Rota gerekli değilse /_ipx/** yolunu ters vekilinizde de engelleyebilirsiniz. Saldırgan denetimindeki baytların bir IPX kaynağı haline gelmesini engelleyin: yüklemeleri sunulan genel yolların dışında tutun ve image.domains değerini denetiminizdeki ana bilgisayarlarla sınırlayın. Yüklemelerin dosya uzantısını veya Content-Type değerini denetlemek yeterli değildir, çünkü çözücü dosyanın içeriğinden seçilir. allowedModifiers ile değiştiricileri kısıtlamak yardımcı olmaz, çünkü sorun herhangi bir değiştirici olmadan da erişilebilirdir. Danışmanın önem derecesi Yüksek'tir ve genel CVSS puanı 8.1'dir. CVSS v3 temel ölçümleri ağ saldırı vektörünü, yüksek saldırı karmaşıklığını, ayrıcalık gerekmemesini, kullanıcı etkileşimi olmamasını, değişmeyen kapsamı ve yüksek gizlilik, bütünlük ve kullanılabilirlik etkisini listeler. Bilinen bir CVE yoktur. Zayıflık CWE-20, Improper Input Validation olarak sınıflandırılır. Ayrıntılı rapor, yeniden üretim ve koordineli açıklama için @l8BL'ye kredi verilir. Danışma 30 Ekim 2026 tarihinde GHSA-p5vf-pjf5-ggj3 altında yayımlandı.

Kaynaklar: GitHub Danışması · IPX Danışması · Cloudflare · GitHub