ຊ່ອງໂຫວ່ຢູ່ໃນໂມດູນ http2 ຈາກ Node.js

ນັກພັດທະນາຂອງແພລດຟອມ JavaScript ຂ້າງເຊີບເວີ Node.js ໄດ້ເຜີຍແຜ່ການແກ້ໄຂ 12.22.4, 14.17.4 ແລະ 16.6.0, ເຊິ່ງບາງສ່ວນແກ້ໄຂຊ່ອງໂຫວ່ (CVE-2021-22930) ໃນໂມດູນ http2 (HTTP/2.0 client) , ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານສາມາດລິເລີ່ມຂະບວນການຂັດຂ້ອງຫຼືມີທ່າແຮງໃນການຈັດຕັ້ງການປະຕິບັດລະຫັດຂອງທ່ານໃນລະບົບເມື່ອເຂົ້າເຖິງໂຮດທີ່ຄວບຄຸມໂດຍຜູ້ໂຈມຕີ.

ບັນຫາແມ່ນເກີດມາຈາກການເຂົ້າເຖິງຫນ່ວຍຄວາມຈໍາທີ່ຖືກປົດປ່ອຍແລ້ວເມື່ອປິດການເຊື່ອມຕໍ່ຫຼັງຈາກໄດ້ຮັບເຟຣມ RST_STREAM (thread reset) ສໍາລັບກະທູ້ທີ່ກໍາລັງປະຕິບັດການອ່ານຢ່າງເຂັ້ມຂຸ້ນທີ່ບລັອກການຂຽນ. ຖ້າເຟຣມ RST_STREAM ໄດ້ຖືກຮັບໂດຍບໍ່ໄດ້ລະບຸລະຫັດຂໍ້ຜິດພາດ, ໂມດູນ http2 ຍັງເອີ້ນຂັ້ນຕອນການທໍາຄວາມສະອາດສໍາລັບຂໍ້ມູນທີ່ໄດ້ຮັບແລ້ວ, ຈາກນັ້ນຕົວຈັດການການປິດຖືກເອີ້ນອີກເທື່ອຫນຶ່ງສໍາລັບກະແສທີ່ປິດແລ້ວ, ເຊິ່ງນໍາໄປສູ່ການປົດປ່ອຍໂຄງສ້າງຂໍ້ມູນສອງເທົ່າ.

ການສົນທະນາ patch ສັງເກດເຫັນວ່າບັນຫາບໍ່ໄດ້ຖືກແກ້ໄຂຢ່າງສົມບູນແລະ, ພາຍໃຕ້ເງື່ອນໄຂການດັດແກ້ເລັກນ້ອຍ, ຍັງສືບຕໍ່ປາກົດຢູ່ໃນການປັບປຸງທີ່ຈັດພີມມາ. ການວິເຄາະໄດ້ສະແດງໃຫ້ເຫັນວ່າການແກ້ໄຂພຽງແຕ່ກວມເອົາກໍລະນີພິເສດຫນຶ່ງ - ເມື່ອກະທູ້ຢູ່ໃນຮູບແບບການອ່ານ, ແຕ່ບໍ່ໄດ້ຄໍານຶງເຖິງສະຖານະຂອງກະທູ້ອື່ນໆ (ການອ່ານແລະການຢຸດ, ການຢຸດຊົ່ວຄາວແລະບາງປະເພດຂອງການຂຽນ).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru