Podatności Hono

Hono to framework webowy dla JavaScript. Przed wersją 4.11.4 middleware weryfikacji JWT JWK/JWKS miał wadę, która pozwalała algorytmowi z nagłówka JWT wpływać na weryfikację podpisu, gdy wybrany JWK nie definiował algorytmu. Może to umożliwić pomylenie algorytmów JWT i, w niektórych konfiguracjach, akceptację sfałszowanych tokenów.

Hono to framework webowy dla JavaScript. Przed wersją 4.11.4 middleware JWT do weryfikacji JWK/JWKS miał podatność, która pozwalała, aby wartość alg w nagłówku JWT wpływała na weryfikację podpisu, gdy wybrany JWK nie określał jawnie algorytmu. Może to umożliwić pomylenie algorytmu JWT i, w niektórych konfiguracjach, akceptację sfałszowanych tokenów.

Podatność na path traversal w serve-static na Windows przez zakodowany backslash (%5C) w ścieżce żądania. Na hostach Windows zakodowany backslash (%5C) dekoduje się do \, co powoduje, że ścieżka Windows traktuje go jako separator katalogów.

Hono przed wersją 4.12.34 ma podatność na ReDoS w wbudowanym middleware CORS (hono/cors). Podczas preflight OPTIONS, middleware parsuje nagłówek Access-Control-Request-Headers za pomocą wyrażenia regularnego, które ma złożoność kwadratową, co może prowadzić do długotrwałego blokowania przetwarzania żądań. Dotyczy to domyślnej konfiguracji, gdy allowHeaders jest puste lub nieustawione.

Podatność w frameworku Hono w wersjach od 3.8.0 do 4.12.33 dotyczy funkcji memo() z hono/jsx, która przechowuje wynik renderowania po stronie serwera i używa go ponownie dla późniejszych renderów z równymi propsami. Wartości zależne od żądania odczytywane wewnątrz komponentu nie są uwzględniane w porównaniu, co może prowadzić do wyświetlenia użytkownikowi HTML wyrenderowanego dla innego żądania. Problem został naprawiony w wersji 4.12.34.

Hono to framework aplikacji webowych wspierający dowolne środowisko JavaScript. Od wersji 4.7.0 do 4.12.33 funkcja proxy() w hono/proxy nie usuwa nagłówków odpowiedzi wskazanych przez nagłówek Connection origin. Zgodnie z RFC 9110, pośrednik musi usunąć te nagłówki przed przekazaniem, ale funkcja usuwa tylko standardowe nagłówki hop-by-hop, co może prowadzić do ujawnienia metadanych wewnętrznych.

Podatność w frameworku Hono w wersjach od 4.12.0 do 4.12.33 dotyczy middleware languageDetector, który jest podatny na atak DoS przez złożoność algorytmiczną podczas przetwarzania spreparowanego tagu języka z dużą liczbą podtagów oddzielonych myślnikami. Funkcja normalizeLanguage() wielokrotnie wywołuje parts.slice(0, i).join('-') dla każdego możliwego prefiksu, co powoduje kwadratowy wzrost przetwarzania. Problem został naprawiony w wersji 4.12.34.

W Hono przed wersją 4.11.10 wykryto podatność na atak timingowy w middleware basicAuth i bearerAuth. Problem wynika z braku stałoczasowego porównania ciągów w funkcji timingSafeEqual, co umożliwia atakującym wnioskowanie o poprawnych danych uwierzytelniających poprzez precyzyjne pomiary czasu.

Podatność w Hono przed wersją 4.12.7 umożliwia użycie klucza __proto__ w funkcji parseBody z włączoną opcją kropki. Specjalnie spreparowane nazwy pól formularza mogą tworzyć obiekty z właściwościami __proto__, co przy niebezpiecznym scalaniu wyników prowadzi do zanieczyszczenia prototypu i modyfikacji zachowania obiektów.

W frameworku Hono w wersjach od 4.3.3 do 4.12.26 adapter AWS API Gateway v1 nieprawidłowo usuwa duplikaty wartości nagłówka, używając porównania podciągów zamiast dokładnego dopasowania. Powoduje to utratę odrębnych, powtarzających się wartości nagłówka, co wpływa na kompletność danych przetwarzanych przez oprogramowanie pośredniczące lub logikę aplikacji.

W frameworku Hono w wersjach od 4.11.8 do 4.12.26 wykryto podatność polegającą na braku izolacji wartości kontekstu na żądanie podczas renderowania po stronie serwera (SSR). Umożliwia to wykorzystanie danych z innego, współbieżnego żądania po wykonaniu instrukcji await w komponencie asynchronicznym.

Podatność w frameworku Hono (wersje 4.0.0 do 4.12.26) w funkcji cx() z hono/css. Funkcja ta łączy nazwy klas z czystych stringów, ale oznacza wynik jako już zabezpieczony przed HTML-escapingiem, co pozwala na wstrzyknięcie dowolnego kodu HTML przez nieufne wartości className w atrybucie class podczas renderowania po stronie serwera.

Podatność w Hono przed wersją 4.10.2 (załatana w 4.10.3) w komponencie CORS middleware powoduje, że gdy źródło (origin) nie jest ustawione na "*", nagłówek Vary z żądania jest kopiowany do odpowiedzi. Atakujący może dostarczyć dowolne wartości Vary, które zostaną odbite w odpowiedzi, co prowadzi do skażenia pamięci podręcznej i niespójnego egzekwowania CORS w środowiskach z współdzielonymi pamięciami podręcznymi lub proxy.

Hono przed wersją 4.12.12 nie weryfikuje nazw ciasteczek w funkcjach setCookie(), serialize() i serializeSigned(), co pozwala na użycie nieprawidłowych znaków, takich jak znaki kontrolne. Może to prowadzić do błędnych wartości nagłówków Set-Cookie.

Hono, framework webowy wspierający dowolne środowisko JavaScript, w wersjach przed 4.12.12 posiada podatność polegającą na rozbieżności między parsowaniem ciasteczek przez przeglądarkę a funkcją parse(). Pozwala to na ominięcie ochrony prefiksów ciasteczek, umożliwiając atakującemu nadpisanie prawidłowych ciasteczek własnymi.

Hono przed wersją 4.12.12 nie kanonizuje adresów IPv4-mapped IPv6 (np. ::ffff:127.0.0.1) przed zastosowaniem reguł zezwalania/odmowy dla IPv4 w funkcji ipRestriction().

Hono przed wersją 4.12.12 zawiera podatność na path traversal w funkcji toSSG(), która pozwala na zapisywanie plików poza skonfigurowanym katalogiem wyjściowym podczas generowania statycznej strony.

W Hono przed wersją 4.12.12 występuje niespójność obsługi ścieżek w serveStatic, która pozwala na dostęp do chronionych plików statycznych poprzez użycie powtarzających się ukośników (//) w ścieżce żądania. Może to prowadzić do obejścia autoryzacji opartej na trasach.