Podatności @fastify/busboy

@fastify/busboy to parser multipart form-data dla Node.js. Jego parser nagłówków części dzieli linie tylko na sekwencję CRLF, więc pojedynczy CR lub LF w nagłówku nie jest traktowany jako znak nowej linii i jest przekazywany do nazwy pliku i nazwy pola. Atakujący może wstrzyknąć znaki kontrolne, co prowadzi do zanieczyszczenia nazw plików, fałszowania logów lub wstrzyknięcia nagłówków. Wersje do 3.2.1 są podatne, poprawka w 3.2.2.

@fastify/busboy w wersjach 3.1.0 do 3.2.0 jest podatny na atak DoS polegający na zablokowaniu pętli zdarzeń Node.js przez wysłanie żądania multipart z granicą o określonej długości. Atakujący może wysłać pojedyncze małe żądanie, które obciąża jeden rdzeń procesora i uniemożliwia obsługę innych żądań. Problem naprawiono w wersji 3.2.1.

@fastify/busboy w wersjach 1.0.0 do 3.2.0 jest podatny na awarię parsera przez wysłanie nagłówka części o nazwie będącej właściwością dziedziczoną, taką jak __proto__ lub constructor. Może to spowodować wyjątek TypeError i w niektórych przypadkach zakończenie procesu Node.js, prowadząc do nieuwierzytelnionego ataku DoS. Problem naprawiono w wersji 3.2.1.