{"id":113646,"date":"2024-02-16T22:02:41","date_gmt":"2024-02-16T20:02:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-node-js-i-libuv"},"modified":"2024-02-16T22:02:41","modified_gmt":"2024-02-16T20:02:41","slug":"uyazvimosti-v-node-js-i-libuv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimosti-v-node-js-i-libuv","title":{"rendered":"S\u00e5rbarheder i Node.js og libuv","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Der er tilg\u00e6ngelige korrigerende udgivelser af server-JavaScript-platformen Node.js 21.6.2, 20.11.1, 18.19.1, hvoraf 8 s\u00e5rbarheder er blevet rettet, herunder 4, der er klassificeret som h\u00f8j risiko: <\/p>\n
\n
CVE-2024-21892 \u2014 mulighed for, at en ikke-privilegeret bruger kan inds\u00e6tte kode, der arver udvidede privilegier, som bruges i arbejdsgangen. S\u00e5rbarheden skyldes en fejl i implementeringen af undtagelser, der tillader, at milj\u00f8variabler, der angives af en ikke-privilegeret bruger, behandles under udvidede privilegier. Undtagelsen skulle kun gives for CAP_NET_BIND_SERVICE-rettighederne, men p\u00e5 grund af en fejl blev den anvendt p\u00e5 nogle andre rettigheder (capabilities).\n
CVE-2024-22019 \u2014 tjenesten\u00e6gtelse gennem udt\u00f8mning af tilg\u00e6ngelige ressourcer (CPU-belastning og b\u00e5ndbreddeforbrug) under behandling af specielt formaterede chunked-anmodninger af den indbyggede HTTP-server, der f\u00f8rer til l\u00e6sning af et ubegribelig antal byte i \u00e9n forbindelse.\n
CVE-2024-21896 \u2014 overskridelse af grundl\u00e6ggende katalog i filstier. S\u00e5rbarheden muligg\u00f8r omg\u00e5else af normalisering af filstier ved hj\u00e6lp af path.resolve(), hvis der gives en sti med klassen Buffer. For at opn\u00e5 en s\u00e5dan sti efter kontrol kaldes metoden Buffer.from(), men applikationen kan anvende et kald til Buffer.prototype.utf8Write, hvilket f\u00f8rer til \u00e6ndring af indholdet efter udf\u00f8relsen af path.resolve() og til opst\u00e5en af s\u00e5rbarheden.\n
CVE-2024-22017 \u2014 kaldet til setuid() nulstillede ikke alle privilegier. Is\u00e6r p\u00e5virker setuid() ikke io_uring-operationer, der anvendes i libuv, hvis de er blevet initialiseret f\u00f8r kaldet til setuid().\n
CVE-2023-46809 \u2014 en s\u00e5rbarhed i API'et privateDecrypt(), der muligg\u00f8r anvendelse af en Marvin-angreb for at dekryptere RSA baseret p\u00e5 tidsm\u00e5ling af operationer.\n
CVE-2024-21891 \u2014 mulighed for at omg\u00e5 adgangsmodel ved brug af brugerdefinerede h\u00e5ndtere af normalisering af filstier.\n
CVE-2024-21890 \u2014 ukorrekt behandling af masker i parametrene \u00ab\u2014allow-fs-read\u00bb og \u00ab\u2014allow-fs-write\u00bb. For eksempel vil \u00ab\u2014allow-fs-read=\/home\/node\/.ssh\/*.pub\u00bb f\u00f8re til adgang til alt indhold i \u00ab.ssh\/\u00bb, ikke kun filer med udvidelsen \u00ab.pub\u00bb, da masken \u00ab*\u00bb behandles som det sidste element i stien.\n
CVE-2024-22025 \u2014 tjenesten\u00e6gtelse gennem udt\u00f8mning af ressourcer ved dekodning af komprimerede data i Brotli-format, modtaget via kaldet fetch(). <\/ul>\n