Kelly Kaoudis

Existe um problema de validação de entrada devido à validação insuficiente de endereços IP e máscaras de rede inseridos em relação à lista interna de endereços IP e sub-redes do Matcher.

O problema está relacionado ao tratamento inadequado de caracteres zero supérfluos no início de uma sequência de endereço IP no arquivo library/std/src/net/parser.rs. Isso pode permitir que invasores contornem o controle de acesso baseado em endereços IP devido a uma interpretação octal inesperada, levando potencialmente a violações de integridade de dados e negação de serviço.

O problema está relacionado a uma falha na autorização no módulo Data::Validate::IP. Isso permite que um invasor remoto comprometa a integridade dos dados ao contornar o controle de acesso baseado em endereços IP. Isso ocorre porque o módulo não considera adequadamente caracteres zero supérfluos no início de uma string de endereço IP.

**Nome do software vulnerável e versões afetadas: Pacote npm netmask, versões 1.0.6 e anteriores Pacote npm netmask, versões 2.0.0 Descrição: O problema está relacionado à validação inadequada de strings octais no pacote npm netmask, permitindo que invasores remotos não autenticados realizem ataques de falsificação de solicitação do lado do servidor (SSRF), inclusão remota de arquivos (RFI) e inclusão local de arquivos (LFI). Essa vulnerabilidade pode ser explorada para contornar pacotes que dependem do netmask para filtrar IPs e acessar hosts críticos de VPN ou LAN. O pacote netmask é utilizado por mais de 270.000 projetos e tem cerca de 3 milhões de downloads por semana. Recomendações: Para as versões 1.0.6 e anteriores do pacote npm netmask: atualize para a versão 2.0.1 ou posterior para garantir proteção completa contra esta vulnerabilidade. Para a versão 2.0.0 do pacote npm netmask: atualize para a versão 2.0.1 ou posterior, pois a correção inicial na versão 2.0.0 estava incompleta.