Podatności Faraday

W bibliotece Faraday metoda build_exclusive_url używa URI#merge do łączenia bazowego adresu URL z ścieżką podaną przez użytkownika. Protokołowo-relatywne adresy URL (np. //evil.com/path) mogą nadpisać host bazowego adresu, umożliwiając atakującemu przekierowanie żądania do dowolnego hosta i przeprowadzenie Server-Side Request Forgery (SSRF). Problem naprawiono w wersji 2.14.1.

Podatność w bibliotece Faraday pozwala na atak DoS poprzez przesłanie specjalnie spreparowanego zagnieżdżonego ciągu zapytania. Dekoder NestedParamsEncoder nie ogranicza głębokości zagnieżdżenia, co prowadzi do przepełnienia stosu i awarii wątku lub procesu roboczego.

Faraday to biblioteka HTTP client library abstraction layer. W wersjach od 2.0.0 do 2.14.1 nadal możliwe jest nadpisywanie hosta względem protokołu, gdy cel żądania jest przekazywany jako obiekt URI (a nie jako String) do metody Faraday::Connection#build_exclusive_url. Obejście to pozwala na ataki typu off-host request forgery, gdzie żądanie z ustalonego połączenia może zostać przekierowane na kontrolowany przez atakującego host, przekazując wartości z zakresu połączenia, takie jak nagłówki Authorization i domyślne parametry zapytania. Problem został naprawiony w wersji 2.14.3.