Traversée de chemin dans message_bus (CVE-2021-43840)
Résumé
Traversée de chemin dans message_bus (CVE-2021-43840). Des informations confidentielles peuvent être exposées. Exploitable via merge_slashes. Atténuation : mise à jour vers 3.3.7 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact
Users who deployed message bus with diagnostics features enabled (default off) were vulnerable to a path traversal bug, which could lead to disclosure of secret information on a machine if an unintended user were to gain access to the diagnostic route. The impact is also greater if there is no proxy for your web application as the number of steps up the directories is not bounded. For deployments which uses a proxy, the impact varies. For example, If a request goes through a proxy like Nginx with merge_slashes enabled, the number of steps up the directories that can be read is limited to 3 levels.
Patches
Patched in 3.3.7.
Workarounds
Disable MessageBus::Diagnostics in production like environments.
Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2021-43840 a été découverte dans message_bus.
Des attaquants peuvent cibler un point d'entrée spécifique comme merge_slashes à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées.
Action : mettez à jour message_bus vers 3.3.7 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « message_bus CVE-2021-43840 » sur le site de l'éditeur.
CVE-2021-43840 (message_bus) — CWE-22
Vecteur d'attaque : distant (réseau)
Surface d'attaque : merge_slashes
Correctif : 3.3.7 — appliquer immédiatement
Contournement : Disable MessageBus::Diagnostics in production like environments.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une traversée de chemin (CWE-22) affecte message_bus. Les attaquants atteignent le code vulnérable via merge_slashes.
Consultez l'avis de l'éditeur pour les versions affectées de message_bus. Surface d'attaque : merge_slashes.
Gravité : ?. Des informations confidentielles peuvent être exposées.
Mettre à jour vers 3.3.7.
Contournement : Disable MessageBus::Diagnostics in production like environments.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'message_bus' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
message_busを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply temporary workaround mitigate
Disable MessageBus::Diagnostics in production like environments.パッチが適用されるまでの応急処置として、Disable MessageBus::Diagnostics in production like environments. を実施。回避策の副作用 (機能低下) を確認した上で。
-
3Apply patch patch
Upgrade message_bus to 3.3.7ステージング環境で 3.3.7 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
4Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com