A Node.js kiszolgáló JavaScript platform fejlesztői közzétették a 12.22.4, 14.17.4 és 16.6.0 javítókiadásokat, amelyek részben megszüntetik a http2 (HTTP/2.0 kliens) modul CVE-2021-22930 sérülékenységét, amely lehetővé teszi a folyamat összeomlását, vagy potenciálisan a támadó által irányított kód végrehajtását a rendszerben, ha egy általa kontrollált gazdagépre hivatkoznak.
A probléma az érintett memória már felszabadított területére való hivatkozásból adódik a kapcsolat lezárásakor, miután RST_STREAM képkockákat (folyam nullázás) kaptak azok számára, amelyek intenzív olvasási műveleteket hajtanak végre, blokkolva a írást. RST_STREAM kód nélküli képkocka fogadása esetén a http2 modul további tisztítási eljárásokat indít a már megkapott adatokra, amelyből a már lezárt folyamat zárókezelője ismételt hívása történik, ami duplafelszabaduláshoz vezet az adatstruktúrák esetében.
A javításról folytatott megbeszélésben megjegyezték, hogy a probléma nem teljesen szűnt meg, és kismértékben megváltozott körülmények között továbbra is jelentkezik a közzétett frissítésekben. A vizsgálat során kiderült, hogy a javítás csak egy speciális esetre vonatkozik — amikor a folyamat olvasási módban van, de más állapotokat (olvasás és szüneteltetés, szüneteltetés és bizonyos típusú írások) nem vesz figyelembe.
Forrás: opennet.ru
