Os desenvolvedores da plataforma JavaScript para servidores Node.js lançaram versões corretivas 12.22.4, 14.17.4 e 16.6.0, nas quais foi parcialmente resolvida uma vulnerabilidade (CVE-2021-22930) no módulo http2 (cliente HTTP/2.0), que permite a falha do processo ou potencialmente a execução de código controlado pelo invasor ao acessar um host sob controle de um agente malicioso.
O problema foi causado pelo acesso a uma área de memória já liberada ao fechar a conexão após receber quadros RST_STREAM (reinício de fluxo) para fluxos que realizam operações de leitura intensivas que bloqueiam a gravação. No caso de receber o quadro RST_STREAM sem um código de erro, o módulo http2 chama novamente o processo de limpeza dos dados já recebidos, no qual o manipulador de fechamento é chamado novamente para o fluxo já fechado, resultando na liberação dupla das estruturas de dados.
Na discussão sobre a correção, foi mencionado que o problema não foi totalmente resolvido e continua a se manifestar nas atualizações publicadas sob condições ligeiramente alteradas. A análise mostrou que a correção aborda apenas um dos casos específicos — quando o fluxo está em modo de leitura, mas não considera outros estados do fluxo (leitura e pausa, pausa e alguns tipos de gravação).
Fonte: opennet.ru
