Express 中的 qs 模块存在原型污染漏洞

漏洞描述

Express 是一个基于 Node.js 的 Web 框架，qs 是一个用于解析或序列化字符串的库，Express 默认使用 qs 模块进行查询字符串解析。

qs 的受影响版本中由于 parseObject 方法没有对 js 对象的“proto”属性进行正确判断，导致攻击者可以通过 qs 解析具有过长数组属性的 js 对象造成拒绝服务。在 4.17.3 之前的 Express 会受到此漏洞的影响，未经身份验证的远程攻击者可以将 payload（如：a[proto]=b&a[proto]&a[length]=100000000）传入用于访问应用程序的 URL 的查询字符串中，在 qs 解析 URL 时导致 Express 应用程序的 Node 进程被挂起。

漏洞名称	Express 中的 qs 模块存在原型污染漏洞
漏洞类型	原型污染
发现时间	2022-11-27
漏洞影响广度	广
MPS编号	MPS-2022-3967
CVE编号	CVE-2022-24999
CNVD编号	-

影响范围

express@(-∞, 4.17.3)

qs@[6.4.0, 6.4.1)

qs@[6.2.0, 6.2.4)

qs@[6.8.0, 6.8.3)

qs@[6.5.0, 6.5.3)

qs@[6.3.0, 6.3.3)

qs@[6.9.0, 6.9.7)

qs@[6.10.0, 6.10.3)

qs@[6.7.0, 6.7.3)

qs@[6.6.0, 6.6.1)

修复方案

升级express到 4.17.3 或更高版本

升级qs到 6.2.4 或 6.3.3 或 6.4.1 或 6.5.3 或 6.6.1 或 6.7.3 或 6.8.3 或 6.9.7 或 6.10.3 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-3967

https://nvd.nist.gov/vuln/detail/CVE-2022-24999

https://github.com/ljharb/qs/pull/428

https://github.com/ljharb/qs/pull/428/commits/8b4cc14cda94a5c89341b77e5fe435ec6c41be2d

https://github.com/n8tz/CVE-2022-24999

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc