{"id":113646,"date":"2024-02-16T22:02:41","date_gmt":"2024-02-16T20:02:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-node-js-i-libuv"},"modified":"2024-02-16T22:02:41","modified_gmt":"2024-02-16T20:02:41","slug":"uyazvimosti-v-node-js-i-libuv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimosti-v-node-js-i-libuv","title":{"rendered":"Vulnerabilit\u00e0 in Node.js e libuv","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Sono disponibili patch correttive per la piattaforma server JavaScript Node.js 21.6.2, 20.11.1, 18.19.1, che risolvono 8 vulnerabilit\u00e0, di cui 4 classificate come ad alto rischio: <\/p>\n
\n
CVE-2024-21892 \u2014 vulnerabilit\u00e0 che consente a un utente non privilegiato di inserire codice ereditato da privilegi elevati, sotto cui viene eseguito il processo. La vulnerabilit\u00e0 \u00e8 causata da un errore nell'implementazione delle eccezioni che consente di gestire le variabili di ambiente impostate da un utente non privilegiato durante un processo con privilegi elevati. L'eccezione avrebbe dovuto essere conceduta solo per le autorizzazioni CAP_NET_BIND_SERVICE, ma a causa di un errore \u00e8 stata applicata anche ad alcune altre autorizzazioni.\n
CVE-2024-22019 \u2014 denial of service dovuto all'esaurimento delle risorse disponibili (carico sulla CPU e consumo di larghezza di banda) durante l'elaborazione di richieste chunked formattate appositamente da un server HTTP incorporato, portando alla lettura di un numero illimitato di byte in una sola connessione.\n
CVE-2024-21896 \u2014 uscita dai limiti della directory di base nei percorsi dei file. La vulnerabilit\u00e0 consente di eludere la normalizzazione dei percorsi dei file utilizzando path.resolve() quando il percorso \u00e8 passato tramite la classe Buffer. Per ottenere un simile percorso, dopo la verifica viene invocato il metodo Buffer.from(), ma nell'applicazione potrebbe essere utilizzato Buffer.prototype.utf8Write, portando a una sostituzione del contenuto dopo l'esecuzione di path.resolve() e causando la vulnerabilit\u00e0.\n
CVE-2024-22017 \u2014 la chiamata a setuid() non annulla tutte le autorizzazioni. In particolare, setuid() non influisce sulle operazioni io_uring utilizzate in libuv se queste sono state inizializzate prima della chiamata a setuid().\n
CVE-2023-46809 \u2014 vulnerabilit\u00e0 nell'API privateDecrypt() che consente l'applicazione dell'attacco Marvin per decrittografare RSA basato sulla misurazione dei tempi delle operazioni.\n
CVE-2024-21891 \u2014 possibilit\u00e0 di eludere il modello di controllo degli accessi utilizzando gestori personalizzati per la normalizzazione dei percorsi dei file.\n
CVE-2024-21890 \u2014 gestione errata delle maschere nei parametri \u2018--allow-fs-read\u2019 e \u2018--allow-fs-write\u2019. Ad esempio, \u2018--allow-fs-read=\/home\/node\/.ssh\/*.pub\u2019 porter\u00e0 a concedere accesso all'intero contenuto di \u2018.ssh\/\u2019, e non solo ai file con estensione \u2018.pub\u2019, poich\u00e9 la maschera \u2018*\u2019 viene elaborata come ultimo elemento del percorso.\n
CVE-2024-22025 \u2014 denial of service a causa dell'esaurimento delle risorse durante la decodifica di dati compressi nel formato Brotli ottenuti tramite una chiamata fetch(). <\/ul>\n