{"id":113646,"date":"2024-02-16T22:02:41","date_gmt":"2024-02-16T20:02:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-node-js-i-libuv"},"modified":"2024-02-16T22:02:41","modified_gmt":"2024-02-16T20:02:41","slug":"uyazvimosti-v-node-js-i-libuv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimosti-v-node-js-i-libuv","title":{"rendered":"Sicherheitsanf\u00e4lligkeiten in Node.js und libuv","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Korrigierte Versionen der Server-JavaScript-Plattform Node.js 21.6.2, 20.11.1, 18.19.1 sind verf\u00fcgbar, in denen 8 Schwachstellen behoben wurden, von denen 4 als hochriskant eingestuft sind: <\/p>\n
\n
CVE-2024-21892 \u2014 Die M\u00f6glichkeit f\u00fcr einen nicht privilegierten Benutzer, Code einzuschleusen, der erweiterten Berechtigungen folgt, unter denen der Arbeitsprozess ausgef\u00fchrt wird. Die Schwachstelle entsteht durch einen Fehler in der Ausnahmebehandlung, der es erm\u00f6glicht, Umgebungsvariablen zu verarbeiten, die von einem nicht privilegierten Benutzer gesetzt wurden, w\u00e4hrend er \u00fcber erweiterte Berechtigungen verf\u00fcgt. Die Ausnahme h\u00e4tte nur f\u00fcr die Berechtigung CAP_NET_BIND_SERVICE bereitgestellt werden sollen, wurde jedoch aufgrund eines Fehlers auch auf einigen anderen Berechtigungen (capabilities) angewendet.\n
CVE-2024-22019 \u2014 Dienstverweigerung durch Ersch\u00f6pfung verf\u00fcgbarer Ressourcen (CPU-Belastung und Bandbreitenverbrauch) bei der Verarbeitung von speziell gestalteten chunked-Anfragen durch den integrierten HTTP-Server, was zu einem unbeschr\u00e4nkten Lesen von Bytes in einer einzigen Verbindung f\u00fchrt.\n
CVE-2024-21896 \u2014 Versto\u00df gegen das Basisverzeichnis in Dateipfaden. Diese Schwachstelle erm\u00f6glicht es, die Normalisierung von Dateipfaden mithilfe von path.resolve() zu umgehen, wenn ein Pfad unter Verwendung der Buffer-Klasse \u00fcbergeben wird. Nach der \u00dcberpr\u00fcfung wird die Methode Buffer.from() aufgerufen, aber im Programm kann ein Aufruf von Buffer.prototype.utf8Write verwendet werden, was zu einer Ersetzung des Inhalts nach der Ausf\u00fchrung von path.resolve() und somit zu einer Schwachstelle f\u00fchrt.\n
CVE-2024-22017 \u2014 Der Aufruf von setuid() setzte nicht alle Berechtigungen zur\u00fcck. Insbesondere hat setuid() keinen Einfluss auf io_uring-Operationen, die in libuv verwendet werden, wenn sie vor dem Aufruf von setuid() initialisiert wurden.\n
CVE-2023-46809 \u2014 Eine Schwachstelle in der API privateDecrypt(), die eine Marvin-Angriffstechnik zur Entschl\u00fcsselung von RSA auf Basis der Zeitmessung von Operationen erm\u00f6glicht.\n
CVE-2024-21891 \u2014 Die M\u00f6glichkeit, das Zugriffsmodell bei der Verwendung von benutzerdefinierten Normalisierern f\u00fcr Dateipfade zu umgehen.\n
CVE-2024-21890 \u2014 Falsche Verarbeitung von Masken in den Parametern \u201a\u2014allow-fs-read\u2018 und \u201a\u2014allow-fs-write\u2018. Zum Beispiel f\u00fchrt \u201a\u2014allow-fs-read=\/home\/node\/.ssh\/*.pub\u2018 dazu, dass der Zugriff auf den gesamten Inhalt von \u201a.ssh\/\u2018 gew\u00e4hrt wird, und nicht nur auf Dateien mit der Endung \u201a.pub\u2018, da die Maske \u201a*\u2018 als letztes Element des Pfades behandelt wird.\n
CVE-2024-22025 \u2014 Dienstverweigerung durch Ersch\u00f6pfung von Ressourcen bei der Dekodierung von komprimierten Daten im Brotli-Format, die \u00fcber den Aufruf fetch() empfangen werden. <\/ul>\n