Уязвимость реализации протокола WebSocket инструмента для тестирования программного обеспечения Vitest связана с отсутствием проверки подлинности источника связи. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного файла
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование «белого» списка IP-адресов для ограничения удалённого доступа к уязвимому программному обеспечению;
- использование антивирусного программного обеспечения для проверки файлов, загружаемых на сервер;
- использование систем обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания индикаторов компрометации для попыток эксплуатации уязвимости.
Использование рекомендаций производителя:
https://github.com/vitest-dev/vitest/blob/9a581e1c43e5c02b11e2a8026a55ce6a8cb35114/packages/vitest/src/api/setup.ts#L32-L46
https://github.com/vitest-dev/vitest/blob/9a581e1c43e5c02b11e2a8026a55ce6a8cb35114/packages/vitest/src/api/setup.ts#L66-L76
| Балл | 10 — критическая опасность |