Vulnerabilities in Node.js and libuv

Pieejamas labojumu versijas servera JavaScript platformai Node.js 21.6.2, 20.11.1, 18.19.1, kurās ir labotas 8 ievainojamības, no kurām 4 ir ar augstu bīstamības pakāpi:

• CVE-2024-21892 — iespēja nepilnvarotam lietotājam ievietot kodu, kas iegūst paaugstinātas privilēģijas, ar kurām tiek izpildīts darbplūsma. Vainīgas ir kļūdas izņēmuma realizācijā, kas ļauj apstrādāt vides mainīgos, kurus ir noteicis nepilnvarots lietotājs, paaugstinātas privilēģijas procesā. Izņēmumam vajadzēja tikt piešķirtam tikai CAP_NET_BIND_SERVICE tiesībām, taču kļūdas dēļ tas tika piemērots arī dažām citām tiesībām (capabilities).
• CVE-2024-22019 — pakalpojumu atteikums, iztukšojot pieejamos resursus (CPU slodze un joslas platuma izmantošana), apstrādājot specializētus chunked pieprasījumus, kas izraisa neierobežotu byte lasīšanu vienā savienojumā, izmantojot iebūvēto HTTP serveri.
• CVE-2024-21896 — bāzes katalogu pārsniegšana failu ceļos. Vainīgums ļauj apiet failu ceļu normalizāciju, izmantojot path.resolve(), ja ceļš tiek nodots, izmantojot Buffer klasi. Pēc pārbaudes attiecīgais ceļš tiek izsaukts ar Buffer.from() metodi, bet lietojumprogrammā var tikt izmantots Buffer.prototype.utf8Write izsaukums, kas noved pie satura aizstāšanas path.resolve() izpildes posmā un izraisot problēmu.
• CVE-2024-22017 — setuid() izsaukums neatslēdz visas privilēģijas. Proti, setuid() neietekmē io_uring operācijas, ko izmanto libuv, ja tās ir inicializētas pirms setuid() izsaukuma.
• CVE-2023-46809 — ievainojamība privateDecrypt() API, kas ļauj izmantot Marvin uzbrukumu RSA atšifrēšanai, pamatojoties uz operāciju laika izmēģinājumiem.
• CVE-2024-21891 — piekļuve piekļuves modeļa apietšanai, izmantojot lietotāju definētus failu ceļu normalizēšanas apstrādātājus.
• CVE-2024-21890 — nepareiza masku apstrāde parametru „—allow-fs-read” un „—allow-fs-write” gadījumā. Piemēram, „—allow-fs-read=\/home\/node\/.ssh\/*.pub” nodrošinās piekļuvi visam „.ssh\/” saturam, nevis tikai failiem ar „.pub” paplašinājumu, jo maska „*” tiek apstrādāta kā pēdējais elementu ceļš.
• CVE-2024-22025 — pakalpojumu atteikums, iztukšojot resursus, dekodējot saspiestos datus Brotli formātā, kuri iegūti, izmantojot fetch() izsaukumu.

Papildus var minēt libuv 1.48.0 bibliotēkas izdošanu, kas tiek izmantota Node.js savienojumu muliplexēšanai un asinkrās ievades/izvades apstrādei. Bez Node.js bibliotēka tiek izmantota arī DNS serveros BIND 9 un Knot DNS, HTTP serverī H2O, Lua ietvarā Luvit. virtuālā mašīnā MoarVM, Julia valodā un Python ietvarā uvloop. Jaunajā versijā ir novērsta ievainojamība (CVE-2024-24806), kas izpaužas projektos, kas izmanto libuv, un ļauj veikt SSRF (Server-side request forgery) uzbrukumu, lai piekļūtu iekšējam API. Ievainojamība radās, jo funkcija uv_getaddrinfo() samazināja hosta nosaukumu līdz 256 simboliem pirms domēna izšķiršanas, izmantojot funkciju getaddrinfo(), kas var novest pie nepareiza nosaukuma noteikšanas. IP adreses un pārbaudes apiešanu. Piemēram, MySpace tipi pakalpojumi, kas rada apakšdomenas kā „username.example.com”, var tikt uzbrukuši, norādot garu lietotājvārdu.

Tāpat ir iznācis atjauninājums Node.js izmantotajam HTTP klientam undici 5.28.3, kurā ir novērsta ievainojamība (CVE-2024-24758), ko izraisīja Proxy-Authorization HTTP galvenes nesakopšana pie pieprasījumu pāradresācijas.

Avots: opennet.lv