Turvahaavad Node.js-is ja libuv-s

Saadaval on parandavad versioonid JavaScript-serveri platvormist Node.js 21.6.2, 20.11.1, 18.19.1, milles on parandatud 8 haavatavust, millest 4 on kõrge ohutasemega:

• CVE-2024-21892 — võimalus, et privileegita kasutaja suudab sisestada koodi, mis pärib laiendatud õigused, millega töödeldakse protsessi. Haavatavus tuleneb erandi rakendamise veast, mis võimaldab laiendatud õigustega protsessis töödelda keskkonnamuutujaid, mis on määratud privileegita kasutaja poolt. Erand peaks olema lubatud ainult CAP_NET_BIND_SERVICE õiguste jaoks, kuid vea tõttu kehtib see ka teiste õiguste (capabilities) jaoks.
• CVE-2024-22019 — teenuse katkestamine, mis tuleneb kergendustel olevate ressursside (CPU koormus ja ribalaiuse tarbimine) ammendamisest, kui integreeritud HTTP-server käsitleb spetsiaalselt vormindatud chunked-päringuid, mis viivad piiramatute baitide lugemisele ühes ühenduses.
• CVE-2024-21896 — basi katalooge ületav failitee. Haavatavus võimaldab mööda jalutada failiteede normaliseerimist, kasutades path.resolve(), kui tee edastatakse Bufferi klassi abil. Selle tee saamiseks, pärast kontrollimist, kutsutakse välja Buffer.from() meetod, kuid rakenduses võidakse kasutada Buffer.prototype.utf8Write, mis toob kaasa sisu muutmise path.resolve() täitmise etapis, põhjustades haavatavuse.
• CVE-2024-22017 — setuid() kutsumine ei lähtestanud kõiki privileege. Eriti ei mõjuta setuid() io_uringi operatsioone, mida kasutatakse libuv'is, kui need on initsialiseeritud enne setuid() kavandamist.
• CVE-2023-46809 — haavatavus API privateDecrypt() osas, mis võimaldab Marvin'i rünnakut RSA dekrüpteerimiseks, põhinedes operatsioonide ajamõõtmisel.
• CVE-2024-21891 — võimalus pääseda mööda juurdepääsu õiguste mudelist, kasutades kohandatud failitee normaliseerimise käitlejat.
• CVE-2024-21890 — valede maskide käsitlemine parameetrites „—allow-fs-read“ ja „—allow-fs-write“. Näiteks „—allow-fs-read=/home/node/.ssh/*.pub“ toob kaasa juurdepääsu kogu „.ssh/“ sisu, mitte ainult „.pub“ laiendiga failidele, kuna mask „*“ töödeldakse tee viimase elemendina.
• CVE-2024-22025 — teenusest keelamine ressursside kulutamise kaudu Brotli vormingus tihendatud andmete dekodeerimise ajal, saadud fetch() kutsumise kaudu.

Lisaks võib märkida, et on ilmunud libuv 1.48.0 versioon, mida kasutatakse Node.js-is ühenduste multiplexerimise ja asünkroonse I/O töötlemise jaoks. Lisaks kasutab seda raamatukogu ka DNS-serverid BIND 9 ja Knot DNS, HTTP-server H2O, Lua-raamistik Luvit. virtuaalses masinas MoarVM, Julia keel ja Python raamistik uvloop. Uues versioonis on kõrvaldatud haavatavus (CVE-2024-24806), mis ilmneb projektides, mis kasutavad libuv ja võimaldab SSRF (Server-side request forgery) rünnakut sisemise API juurde pääsemiseks. Haavatavus tekkis, kuna uv_getaddrinfo() funktsioon kärpis hosti nime 256 tähemärgi piiranguni enne domeeni lahendamist getaddrinfo() kaudu, mis võib viia vale määratlemiseni ja kontrollide ümbersõiduni. IP-aadressid Näiteks võivad MySpace'i sarnased teenused, mis loovad alamdomeene vormis «username.example.com», olla rünnatavad pika kasutajanime määramise kaudu.

Samuti ilmus uuendus Node.js-i HTTP-klientidele undici 5.28.3, kus kõrvaldatud haavatavus (CVE-2024-24758) tulenes HTTP-pealkirja Proxy-Authorization puhastamise puudumisest taotluste võimaliku ümbersuunamise ajal.

Allikas: opennet.ru