node-ip SSRF CVE-2024-29415

漏洞描述：

CVE-2023-42282中描述的问题在v2.0.1和v1.1.9中没有完全修复。isPublic()函数仍然将一些私有IP地址标识为公共的。如果使用isPublic() / isPrivate() / isLoopback()函数保护网络外发请求，可能会导致SSRF攻击。

影响范围：

node.js v2.0.1

node.js v1.1.9

修复建议：

1. 更换node.js版本 2.禁用isPublic() / isPrivate() / isLoopback()等函数

参考链接：

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2024-29415

https://nvd.nist.gov/vuln/detail/CVE-2024-29415

https://github.com/indutny/node-ip/issues/150

原文始发于微信公众号（Eonian Sharp）：漏洞预警 | node-ip SSRF CVE-2024-29415