Node.js बाट http2 मोड्युलमा जोखिम

सर्भर-साइड JavaScript प्लेटफर्म Node.js का विकासकर्ताहरूले सुधारात्मक रिलीजहरू 12.22.4, 14.17.4 र 16.6.0 प्रकाशित गरेका छन्, जसले आंशिक रूपमा http2021 मोड्युल (HTTP/22930 ग्राहक) मा कमजोरी (CVE-2-2.0) लाई सुधार गर्दछ। , जसले आक्रमणकर्ताद्वारा नियन्त्रित होस्ट पहुँच गर्दा प्रक्रिया क्र्यास सुरु गर्न वा सम्भावित रूपमा प्रणालीमा तपाईंको कोडको कार्यान्वयनलाई व्यवस्थित गर्न अनुमति दिन्छ।

RST_STREAM (थ्रेड रिसेट) थ्रेडहरूका लागि फ्रेमहरू प्राप्त गरेपछि जडान बन्द गर्दा पहिले नै मुक्त मेमोरी पहुँच गर्नाले समस्या उत्पन्न हुन्छ जसले लेखहरूलाई ब्लक गर्ने गहन पढ्ने कार्यहरू प्रदर्शन गरिरहेको छ। यदि त्रुटि कोड निर्दिष्ट नगरिकन RST_STREAM फ्रेम प्राप्त भयो भने, http2 मोड्युलले पहिले नै प्राप्त भएको डेटाको लागि क्लिनअप प्रक्रियालाई कल गर्दछ, जसबाट क्लोजर ह्यान्डलरलाई पहिले नै बन्द गरिएको स्ट्रिमको लागि पुन: बोलाइन्छ, जसले डेटा संरचनाहरूको दोहोरो मुक्तिमा जान्छ।

प्याच छलफलले नोट गर्दछ कि समस्या पूर्ण रूपमा समाधान भएको छैन र, थोरै परिमार्जित अवस्थाहरूमा, प्रकाशित अद्यावधिकहरूमा देखा पर्न जारी छ। विश्लेषणले देखाएको छ कि फिक्सले विशेष केसहरू मध्ये एउटालाई मात्र समेट्छ - जब थ्रेड पढ्ने मोडमा हुन्छ, तर अन्य थ्रेड अवस्थाहरू (पढ्ने र पज गर्ने, पज गर्ने र केही प्रकारका लेखन) लाई ध्यानमा राख्दैन।

स्रोत: opennet.ru