{"id":113646,"date":"2024-02-16T22:02:41","date_gmt":"2024-02-16T20:02:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-node-js-i-libuv"},"modified":"2024-02-16T22:02:41","modified_gmt":"2024-02-16T20:02:41","slug":"uyazvimosti-v-node-js-i-libuv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimosti-v-node-js-i-libuv","title":{"rendered":"Sicherheitsanf\u00e4lligkeiten in Node.js und libuv","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Es sind korrigierte Versionen der Server-JavaScript-Plattform Node.js 21.6.2, 20.11.1, 18.19.1 verf\u00fcgbar, in denen 8 Sicherheitsanf\u00e4lligkeiten behoben wurden, von denen 4 als hochgef\u00e4hrlich eingestuft sind: <\/p>\n
\n
CVE-2024-21892 \u2014 M\u00f6glichkeit zur Code-Injektion durch nicht privilegierte Benutzer, die erweiterte Privilegien erben, mit denen der Arbeitsprozess ausgef\u00fchrt wird. Die Verletzung wird durch einen Fehler in der Ausnahmebehandlung verursacht, der es erm\u00f6glicht, w\u00e4hrend eines Prozesses mit erweiterten Privilegien Umgebungsvariablen zu verarbeiten, die von nicht privilegierten Benutzern gesetzt wurden. Die Ausnahme sollte nur f\u00fcr die Berechtigungen CAP_NET_BIND_SERVICE gew\u00e4hrt werden, wurde jedoch aufgrund eines Fehlers auch auf einige andere Berechtigungen angewendet.\n
CVE-2024-22019 \u2014 Denial of Service durch Ersch\u00f6pfung verf\u00fcgbarer Ressourcen (CPU-Last und Bandbreitenverbrauch) beim Verarbeiten von speziell gestalteten chunked-Anfragen durch den integrierten HTTP-Server, die dazu f\u00fchren, dass eine unbegrenzte Anzahl von Bytes in einer Verbindung gelesen wird.\n
CVE-2024-21896 \u2014 Versto\u00df gegen die Basisverzeichnisgrenzen in Dateipfaden. Die Verletzung erm\u00f6glicht es, die Normalisierung von Dateipfaden mithilfe von path.resolve() zu umgehen, wenn der Pfad unter Verwendung der Buffer-Klasse \u00fcbergeben wird. Nach der \u00dcberpr\u00fcfung wird die Methode Buffer.from() aufgerufen, jedoch kann im Anwendungsfall der Aufruf Buffer.prototype.utf8Write verwendet werden, was zur Ersetzung des Inhalts nach der Ausf\u00fchrung von path.resolve() und zur Entstehung der Sicherheitsanf\u00e4lligkeit f\u00fchrt.\n
CVE-2024-22017 \u2014 Der Aufruf von setuid() setzte nicht alle Privilegien zur\u00fcck. Insbesondere hat setuid() keine Auswirkungen auf io_uring-Operationen, die in libuv verwendet werden, wenn sie vor dem Aufruf von setuid() initialisiert wurden.\n
CVE-2023-46809 \u2014 Eine Schwachstelle in der API privateDecrypt(), die einen Marvin-Angriff zur Entschl\u00fcsselung von RSA basierend auf Zeitmessungen von Operationen zul\u00e4sst.\n
CVE-2024-21891 \u2014 M\u00f6glichkeit zum Umgehen des Zugriffskontrollmodells bei Verwendung von benutzerdefinierten Handlern zur Normalisierung von Dateipfaden.\n
CVE-2024-21890 \u2014 Unzureichende Verarbeitung von Masken in den Parametern \u201e\u2014allow-fs-read\u201c und \u201e\u2014allow-fs-write\u201c. Zum Beispiel wird \u201e\u2014allow-fs-read=\/home\/node\/.ssh\/*.pub\u201c den Zugriff auf den gesamten Inhalt von \u201e.ssh\/\u201c gew\u00e4hren und nicht nur auf Dateien mit der Endung \u201e.pub\u201c, da die Maske \u201e*\u201c als letztes Element des Pfades verarbeitet wird.\n
CVE-2024-22025 \u2014 Denial of Service durch Ersch\u00f6pfung von Ressourcen beim Dekodieren komprimierter Daten im Brotli-Format, die durch den Aufruf von fetch() erhalten wurden. <\/ul>\n