{"id":113646,"date":"2024-02-16T22:02:41","date_gmt":"2024-02-16T20:02:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-node-js-i-libuv"},"modified":"2024-02-16T22:02:41","modified_gmt":"2024-02-16T20:02:41","slug":"uyazvimosti-v-node-js-i-libuv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimosti-v-node-js-i-libuv","title":{"rendered":"Vuln\u00e9rabilit\u00e9s dans Node.js et libuv","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Des mises \u00e0 jour correctives de la plateforme serveur JavaScript Node.js 21.6.2, 20.11.1, 18.19.1 sont disponibles, corrigeant 8 vuln\u00e9rabilit\u00e9s, dont 4 ont \u00e9t\u00e9 class\u00e9es comme ayant un niveau de danger \u00e9lev\u00e9 : <\/p>\n
\n
CVE-2024-21892 \u2014 possibilit\u00e9 pour un utilisateur non privil\u00e9gi\u00e9 de substituer du code h\u00e9rit\u00e9 de privil\u00e8ges \u00e9tendus avec lesquels un processus est ex\u00e9cut\u00e9. La vuln\u00e9rabilit\u00e9 est caus\u00e9e par une erreur dans l'impl\u00e9mentation de l'exception, permettant de manipuler des variables d'environnement d\u00e9finies par un utilisateur non privil\u00e9gi\u00e9 dans un processus \u00e0 privil\u00e8ges \u00e9tendus. L'exception aurait d\u00fb \u00eatre accord\u00e9e uniquement pour les droits CAP_NET_BIND_SERVICE, mais en raison d'une erreur, elle s'appliquait \u00e9galement \u00e0 d'autres droits (capabilities).\n
CVE-2024-22019 \u2014 d\u00e9ni de service par \u00e9puisement des ressources disponibles (charge CPU et consommation de bande passante) lors du traitement de requ\u00eates chunked sp\u00e9cialement con\u00e7ues par le serveur HTTP int\u00e9gr\u00e9, entra\u00eenant la lecture d'un nombre illimit\u00e9 d'octets dans une seule connexion.\n
CVE-2024-21896 \u2014 d\u00e9passement du r\u00e9pertoire de base dans les chemins de fichiers. La vuln\u00e9rabilit\u00e9 permet de contourner la normalisation des chemins de fichiers en utilisant path.resolve() lorsque le chemin est transmis \u00e0 l'aide de la classe Buffer. Pour obtenir un tel chemin, apr\u00e8s v\u00e9rification, la m\u00e9thode Buffer.from() est appel\u00e9e, mais l'application peut utiliser l'appel Buffer.prototype.utf8Write, entra\u00eenant un remplacement du contenu apr\u00e8s l'ex\u00e9cution de path.resolve() et la cr\u00e9ation d'une vuln\u00e9rabilit\u00e9.\n
CVE-2024-22017 \u2014 l'appel \u00e0 setuid() ne r\u00e9initialisait pas tous les privil\u00e8ges. En particulier, setuid() n'affecte pas les op\u00e9rations io_uring utilis\u00e9es dans libuv si elles ont \u00e9t\u00e9 initialis\u00e9es avant l'appel \u00e0 setuid().\n
CVE-2023-46809 \u2014 vuln\u00e9rabilit\u00e9 dans l'API privateDecrypt(), permettant une attaque Marvin pour le d\u00e9chiffrement RSA bas\u00e9 sur la mesure du temps des op\u00e9rations.\n
CVE-2024-21891 \u2014 possibilit\u00e9 de contourner le mod\u00e8le d'acc\u00e8s lors de l'utilisation de gestionnaires personnalis\u00e9s pour la normalisation des chemins de fichiers.\n
CVE-2024-21890 \u2014 traitement incorrect des masques dans les param\u00e8tres \u00ab \u2014allow-fs-read \u00bb et \u00ab \u2014allow-fs-write \u00bb. Par exemple, \u00ab \u2014allow-fs-read=\/home\/node\/.ssh\/*.pub \u00bb accordera acc\u00e8s \u00e0 tout le contenu de \u00ab .ssh\/ \u00bb, et pas seulement aux fichiers avec l'extension \u00ab .pub \u00bb, car le masque \u00ab * \u00bb est trait\u00e9 comme le dernier \u00e9l\u00e9ment du chemin.\n
CVE-2024-22025 \u2014 d\u00e9ni de service par \u00e9puisement des ressources lors du d\u00e9codage de donn\u00e9es compress\u00e9es au format Brotli, obtenues via un appel \u00e0 fetch(). <\/ul>\n