CVE-2017-0904

Wysokie

Opublikowano: 13/11/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Gem ruby private_address_check w wersji przed 0.4.0 jest podatny na obejście zabezpieczeń z powodu użycia metody Resolv.getaddresses, która jest zależna od systemu operacyjnego i nie powinna być wykorzystywana jako środek zabezpieczający, na przykład do blokowania prywatnych adresów sieciowych w celu zapobiegania oszustwom związanym z żądaniami serwera.

Ocena ryzyka

Organizacje mogą być narażone na ataki typu server-side request forgery, co może prowadzić do nieautoryzowanego dostępu do zasobów wewnętrznych.

Rekomendacja

Zaleca się aktualizację gemu private_address_check do wersji 0.4.0 lub nowszej oraz wdrożenie dodatkowych środków zabezpieczających w celu ochrony przed oszustwami związanymi z żądaniami serwera.

Inne podatności w private_address_check ruby gem

CVE-2017-0909Krytyczne
Gem ruby private_address_check w wersji przed 0.4.1 jest podatny na obejście zabezpieczeń z powodu niekompletnej czarnej listy powszechnych adresów prywatnych/lokalnych, które są używane do zapobiegania oszustwom związanym z żądaniami po stronie serwera.

Oryginalny opis (angielski, źródło NVD)

The private_address_check ruby gem before 0.4.0 is vulnerable to a bypass due to use of Ruby's Resolv.getaddresses method, which is OS-dependent and should not be relied upon for security measures, such as when used to blacklist private network addresses to prevent server-side request forgery.