Homanp

تقوم المكتبة بتحويل قيم مسار PAX وlinkpath المكونة من أرقام فقط في ملف `src/pax.ts` إلى أرقام JavaScript. يؤدي هذا السلوك إلى قيام عمليات معالجة المسار اللاحقة، مثل `normalizeWindowsPath(entry.path).split(’/‘)`، بإصدار خطأ TypeError لم يتم التقاطه.

يمكن لطلب HTTP واحد مشوه أن يتسبب في تعطل أي عملية Node.js تعمل على مُصدِّر OpenTelemetry JS Prometheus. تفتقر نقطة نهاية المقاييس (الافتراضية ’0.0.0.0:9464‘) إلى معالجة الأخطاء أثناء تحليل عنوان URL. عند استلام طلب يحتوي على عنوان URI غير صالح، تستدعي الدالة ` requestHandler` منشئ `URL`، الذي يطلق استثناء `TypeError` لم يتم التقاطه، مما يؤدي إلى حدوث هجوم رفض الخدمة. يحدث هذا لأن محلل HTTP يقبل عناوين URI ذات الصيغة المطلقة من أجل التوافق مع البروكسي، وتؤدي قيمة مثل ”http://“ إلى إطلاق الاستثناء. نقطة النهاية غير خاضعة للمصادقة حسب التصميم وترتبط بـ ’0.0.0.0‘ افتراضيًا، مما يجعلها قابلة للوصول من قبل أي عميل شبكة.