Node.js से http2 मॉड्यूल में भेद्यता

सर्वर-साइड जावास्क्रिप्ट प्लेटफ़ॉर्म Node.js के डेवलपर्स ने सुधारात्मक रिलीज़ 12.22.4, 14.17.4 और 16.6.0 प्रकाशित किए हैं, जो http2021 मॉड्यूल (HTTP/22930 क्लाइंट) में भेद्यता (CVE-2-2.0) को आंशिक रूप से ठीक करते हैं। , जो आपको हमलावर द्वारा नियंत्रित होस्ट तक पहुंचने पर प्रक्रिया क्रैश शुरू करने या सिस्टम में आपके कोड के निष्पादन को संभावित रूप से व्यवस्थित करने की अनुमति देता है।

समस्या उन थ्रेड्स के लिए RST_STREAM (थ्रेड रीसेट) फ्रेम प्राप्त करने के बाद कनेक्शन बंद करते समय पहले से ही खाली की गई मेमोरी तक पहुंचने के कारण होती है जो गहन रीड ऑपरेशन कर रहे हैं जो ब्लॉक लिखते हैं। यदि एक त्रुटि कोड निर्दिष्ट किए बिना एक RST_STREAM फ्रेम प्राप्त होता है, तो http2 मॉड्यूल अतिरिक्त रूप से पहले से प्राप्त डेटा के लिए एक क्लीनअप प्रक्रिया को कॉल करता है, जिससे क्लोजर हैंडलर को पहले से ही बंद स्ट्रीम के लिए फिर से कॉल किया जाता है, जिससे डेटा संरचनाओं की दोहरी मुक्ति होती है।

पैच चर्चा नोट करती है कि समस्या पूरी तरह से हल नहीं हुई है और, थोड़ी संशोधित परिस्थितियों में, प्रकाशित अपडेट में दिखाई देती रहती है। विश्लेषण से पता चला कि फिक्स केवल विशेष मामलों में से एक को कवर करता है - जब थ्रेड रीड मोड में होता है, लेकिन अन्य थ्रेड स्टेट्स (पढ़ने और रुकने, रुकने और कुछ प्रकार के लेखन) को ध्यान में नहीं रखता है।

स्रोत: opennet.ru