{"id":113646,"date":"2024-02-16T22:02:41","date_gmt":"2024-02-16T20:02:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-node-js-i-libuv"},"modified":"2024-02-16T22:02:41","modified_gmt":"2024-02-16T20:02:41","slug":"uyazvimosti-v-node-js-i-libuv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimosti-v-node-js-i-libuv","title":{"rendered":"Kwetsbaarheden in Node.js en libuv","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Er zijn correctieve uitgaven beschikbaar voor het server-side JavaScript-platform Node.js 21.6.2, 20.11.1, 18.19.1, waarin 8 kwetsbaarheden zijn verholpen, waarvan 4 een hoog risico hebben. <\/p>\n
\n
CVE-2024-21892 \u2014 de mogelijkheid voor een niet-geprivilegieerde gebruiker om code in te voegen die erfde van de uitgebreide privileges waarmee de werkwijze wordt uitgevoerd. De kwetsbaarheid wordt veroorzaakt door een fout in de implementatie van uitzonderingen, waardoor het mogelijk is om omgevingsvariabelen die zijn ingesteld door niet-geprivilegieerde gebruiker te behandelen binnen een proces met uitgebreide privileges. De uitzondering had alleen voor de rechten CAP_NET_BIND_SERVICE verleend moeten worden, maar door een fout werd deze ook toegepast op andere rechten (capabilities).\n
CVE-2024-22019 \u2014 een denial of service door het uitputten van beschikbare middelen (CPU-belasting en bandbreedteverbruik) bij verwerking van speciaal opgemaakte chunked-verzoeken door de ingebouwde HTTP-server, wat leidt tot het lezen van een onbeperkte hoeveelheid bytes in \u00e9\u00e9n verbinding.\n
CVE-2024-21896 \u2014 een overschrijding van de basisdirectory in bestandsroutes. De kwetsbaarheid maakt het mogelijk om bestandsroute-normalisatie te omzeilen via path.resolve() wanneer een pad wordt doorgegeven met behulp van de Buffer-klasse. Voor het verkrijgen van zo'n pad wordt na controle de methode Buffer.from() aangeroepen, maar in de applicatie kan de aanroep Buffer.prototype.utf8Write worden gebruikt, wat leidt tot vervanging van de inhoud na de uitvoering van path.resolve() en het ontstaan van de kwetsbaarheid.\n
CVE-2024-22017 \u2014 de aanroep setuid() resette niet alle privileges. Met name heeft setuid() geen invloed op io_uring-operaties, gebruikt in libuv, als deze zijn ge\u00efnitialiseerd v\u00f3\u00f3r de aanroep setuid().\n
CVE-2023-46809 \u2014 een kwetsbaarheid in de API privateDecrypt(), die het mogelijk maakt om een Marvin-aanval uit te voeren voor het decoderen van RSA op basis van het meten van de tijd van operaties.\n
CVE-2024-21891 \u2014 de mogelijkheid om het toegangsmodel te omzeilen bij gebruik van aangepaste normalisatiehandlers voor bestandsroutes.\n
CVE-2024-21890 \u2014 onjuiste behandeling van masks in de parameters \"\u2014allow-fs-read\" en \"\u2014allow-fs-write\". Bijvoorbeeld, \"\u2014allow-fs-read=\/home\/node\/.ssh\/*.pub\" leidt tot toegang tot de volledige inhoud van \".ssh\/\", en niet alleen tot bestanden met de extensie \".pub\", omdat de masker \"*\" wordt behandeld als het laatste element van het pad.\n
CVE-2024-22025 \u2014 denial of service door het uitputten van middelen bij het decoderen van gecomprimeerde gegevens in het Brotli-formaat, verkregen via een fetch()-aanroep. <\/ul>\n