Podatności multiparty

Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu nieobsłużonego wyjątku. Wysyłając żądanie multipart/form-data z nagłówkiem Content-Disposition zawierającym źle sformatowane kodowanie procentowe, parser wywołuje decodeURI bez obsługi błędów, co prowadzi do awarii procesu.

Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu nieobsłużonego wyjątku. Wysyłając żądanie multipart/form-data z nazwą pola kolidującą z właściwością Object.prototype, parser wywołuje .push() na dziedziczonej wartości prototypu, co prowadzi do błędu TypeError i awarii procesu.

Wersje multiparty do 4.2.3 są podatne na atak typu denial of service z powodu cofania się wyrażeń regularnych w parserze parametru Content-Disposition filename. Odpowiednio skonstruowane przesyłanie multipart z długą wartością nagłówka może spowodować, że dopasowanie regex zajmie sekundy, blokując pętlę zdarzeń.

multiparty to biblioteka Node.js do parsowania ciał żądań multipart/form-data. W wersjach od 2.1.0 do 4.3.1 (wyłącznie) parser nie ogranicza ilości pamięci używanej podczas gromadzenia nagłówków pojedynczej części multipart. Nieuwierzytelniony atakujący może wysłać pojedyncze żądanie, którego część zawiera bardzo dużą ilość bajtów nagłówka, zmuszając parser do buforowania ich wszystkich i wyczerpując pamięć procesu, co powoduje awarię serwera. Jest to atak typu denial of service bez wpływu na poufność lub integralność. Problem został naprawiony w multiparty 4.3.1, która ogranicza rozmiar gromadzonych nagłówków części. Użytkownicy powinni zaktualizować do multiparty 4.3.1 lub nowszej.