Podatności body-parser

body-parser to middleware parsowania ciała żądań dla Node.js i Express. W wersjach przed 1.20.9 oraz od 2.0.0 przed 2.4.0 pojedyncze żądanie może spowodować awarię aplikacji używającej body-parser z domyślnymi opcjami. Gdy żądanie zawiera Content-Encoding, takie jak gzip, body-parser przekazuje je do strumienia dekompresji i po odczytaniu ciała pozostawia ten strumień bez nasłuchiwacza błędów; końcowe bajty trafiają do zakończonego dekodera, który emituje błąd rzucany jako nieprzechwycony wyjątek i kończy proces. Podatność naprawiono w body-parser 2.4.0 i 1.20.9.

W bibliotece body-parser przed wersjami 1.20.6 i 2.3.0, nieprawidłowa wartość opcji limit (np. nieparsowalny string lub NaN) powoduje, że funkcja bytes.parse zwraca null, a kontrola rozmiaru treści żądania jest pomijana. Aplikacje polegające na limicie jako głównym zabezpieczeniu przed zbyt dużymi żądaniami akceptują dowolnie duże ładunki, prowadząc do nadmiernego zużycia pamięci i CPU oraz odmowy usługi.

body-parser 2.2.0 jest podatny na odmowę usługi (DoS) z powodu nieefektywnego przetwarzania ciał żądań URL-encoded z bardzo dużą liczbą parametrów. Atakujący może wysłać ładunki zawierające tysiące parametrów w ramach domyślnego limitu 100 KB, powodując zwiększone zużycie CPU i pamięci.