የአገልጋይ ጎን ጃቫ ስክሪፕት መድረክ ኖድ.js ገንቢዎች ተጋላጭነትን (CVE-12.22.4-14.17.4) በከፊል የሚያስተካክሉ 16.6.0፣ 2021 እና 22930 በhttp2 ሞጁል (ኤችቲቲፒ/2.0 ደንበኛ) ላይ የፔች ልቀቶችን አትመዋል። በአጥቂ ቁጥጥር ስር ያለ አስተናጋጅ ሲደርሱ የሂደቱ ብልሽት ሊያስከትል ወይም በሲስተሙ ውስጥ የእርስዎን ኮድ አፈፃፀም ሊያደራጅ ይችላል።
ችግሩ የተፈጠረው RST_STREAM (የዥረት ዳግም ማስጀመሪያ) ክፈፎች ጽሁፍን የሚከለክሉ ጥልቅ ንባቦችን ለሚያካሂዱ ዥረቶች ከተቀበሉ በኋላ ግንኙነቱን ሲዘጋ ቀድሞውንም የተለቀቀውን የማህደረ ትውስታ ቦታ በመድረስ ነው። የ RST_STREAM ፍሬም የስህተት ኮድ ሳይገልጽ ከደረሰ የ http2 ሞጁል በተጨማሪ አስቀድሞ የተቀበለውን ውሂብ የማጽዳት ሂደቱን ይጠራል ፣ ከእሱም የቅርብ ተቆጣጣሪው ቀድሞውኑ ለተዘጋው ዥረት እንደገና ይጠራል ፣ ይህም ወደ የውሂብ አወቃቀሮች ድርብ ልቀት ይመራል።
የማስተካከያ ውይይቱ ጉዳዩ ሙሉ በሙሉ እንዳልተስተካከለ እና በትንሹ በተሻሻሉ ሁኔታዎች ውስጥ በታተሙ ዝመናዎች ላይ መታየቱን እንደቀጠለ ያሳያል። ትንታኔው እንደሚያሳየው ጥገናው ከልዩ ጉዳዮች ውስጥ አንዱን ብቻ ይዘጋዋል - ዥረቱ በንባብ ሁነታ ላይ ሲሆን, ነገር ግን ሌሎች የዥረት ግዛቶችን (ማንበብ እና ማገድ, ማገድ እና አንዳንድ የአጻጻፍ ዓይነቶች) ግምት ውስጥ አያስገባም.
ምንጭ: opennet.ru