follow-redirects<1.15.4 主机名验证不当漏洞

漏洞描述

follow-redirects 是用于自动处理 HTTP 和 HTTPS 请求重定向的NPM组件包。

follow-redirects 1.15.4之前版本中的 spreadUrlObject 方法处理以 [ 字符开头的 url 主机名或者其它无效 url 时会调用 url.parse 方法解析攻击者可控的 url 链接。由于 url.parse 方法存在Hostname spoofing漏洞，攻击者可构造恶意的 url 请求进行开放重定向和SSRF攻击，窃取用户信息或进行内网探测等。

漏洞名称	follow-redirects<1.15.4 主机名验证不当漏洞
漏洞类型	输入验证不恰当
发现时间	2024-01-02
漏洞影响广度	极小
MPS编号	MPS-2023-5153
CVE编号	CVE-2023-26159
CNVD编号	-

影响范围

follow-redirects@[0.0.1, 1.15.4)

修复方案

将 follow-redirects 升级至 1.15.4 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-2023-5153

https://nvd.nist.gov/vuln/detail/CVE-2023-26159

https://github.com/follow-redirects/follow-redirects/issues/235

https://github.com/follow-redirects/follow-redirects/commit/7a6567e16dfa9ad18a70bfe91784c28653fbf19d

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc