Serilog Client IP Spoofing vulnerability

中 6.5CVE-2024-44930 · GHSA-5x5q-cqf6-gj8r · 29/08/2024 公開 · 17/06/2026 更新

要点

CVE-2024-44930 は Serilog.Enrichers.ClientInfo, serilog-enrichers-clientinfo (serilog-contrib) に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.32%（全脆弱性の 25.4% より高い）。
対処：2.1.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
Serilog.Enrichers.ClientInfo NuGet	`< 2.1.0`	`2.1.0`
serilog-enrichers-clientinfo serilog-contrib	`< 2.1.0`	`2.1.0`

概要

Serilog (before v2.1.0) contains a Client IP Spoofing vulnerability, which allows attackers to falsify their IP addresses in log files by specifying an arbitrary IP as a value of X-Forwarded-For or Client-Ip headers while performing HTTP requests.

It is not possible to configure Serilog.Enrichers.ClientInfo to not trust the X-Forwarded-For header.

NVD の説明

Serilog before v2.1.0 was discovered to contain a Client IP Spoofing vulnerability, which allows attackers to falsify their IP addresses by specifying an arbitrary IP as a value of X-Forwarded-For or Client-Ip headers while performing HTTP requests.