{"id":113646,"date":"2024-02-16T22:02:41","date_gmt":"2024-02-16T20:02:41","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-node-js-i-libuv"},"modified":"2024-02-16T22:02:41","modified_gmt":"2024-02-16T20:02:41","slug":"uyazvimosti-v-node-js-i-libuv","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/uyazvimosti-v-node-js-i-libuv","title":{"rendered":"Vulnerabilidades no Node.js e libuv","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Est\u00e3o dispon\u00edveis corre\u00e7\u00f5es para as vers\u00f5es do servidor JavaScript Node.js 21.6.2, 20.11.1, 18.19.1, que corrigem 8 vulnerabilidades, das quais 4 possuem um alto n\u00edvel de gravidade: <\/p>\n
\n
CVE-2024-21892 \u2014 possibilidade de um usu\u00e1rio n\u00e3o privilegiado inserir c\u00f3digo que herda privil\u00e9gios elevados com os quais o processo \u00e9 executado. A vulnerabilidade \u00e9 causada por um erro na implementa\u00e7\u00e3o da exce\u00e7\u00e3o, permitindo que, durante o processo com privil\u00e9gios elevados, vari\u00e1veis de ambiente definidas por um usu\u00e1rio n\u00e3o privilegiado sejam manipuladas. A exce\u00e7\u00e3o deveria ser fornecida apenas para os privil\u00e9gios CAP_NET_BIND_SERVICE, mas, devido a um erro, aplicava-se tamb\u00e9m a alguns outros privil\u00e9gios.\n
CVE-2024-22019 \u2014 nega\u00e7\u00e3o de servi\u00e7o atrav\u00e9s do esgotamento de recursos dispon\u00edveis (carga na CPU e consumo de largura de banda) durante o processamento de solicita\u00e7\u00f5es chunked especificamente formatadas, que levam \u00e0 leitura de um n\u00famero ilimitado de bytes em uma \u00fanica conex\u00e3o pelo servidor HTTP incorporado.\n
CVE-2024-21896 \u2014 sa\u00edda para fora do diret\u00f3rio base em caminhos de arquivos. A vulnerabilidade permite contornar a normaliza\u00e7\u00e3o de caminhos de arquivos usando path.resolve() ao passar um caminho usando a classe Buffer. Ap\u00f3s a verifica\u00e7\u00e3o, o m\u00e9todo Buffer.from() \u00e9 chamado, mas na aplica\u00e7\u00e3o pode ser utilizado o chamado Buffer.prototype.utf8Write, que resulta na substitui\u00e7\u00e3o do conte\u00fado ap\u00f3s a execu\u00e7\u00e3o de path.resolve() e gera a vulnerabilidade.\n
CVE-2024-22017 \u2014 chamada setuid() n\u00e3o redefiniu todos os privil\u00e9gios. Em particular, setuid() n\u00e3o afeta opera\u00e7\u00f5es de io_uring, usadas na libuv, se foram inicializadas antes da chamada setuid().\n
CVE-2023-46809 \u2014 vulnerabilidade na API privateDecrypt(), permitindo a aplica\u00e7\u00e3o do ataque Marvin para descriptografar RSA baseado na medi\u00e7\u00e3o do tempo das opera\u00e7\u00f5es.\n
CVE-2024-21891 \u2014 possibilidade de contornar o modelo de permiss\u00f5es ao utilizar manipuladores personalizados para normaliza\u00e7\u00e3o de caminhos de arquivos.\n
CVE-2024-21890 \u2014 processamento incorreto de m\u00e1scaras nos par\u00e2metros \u2018--allow-fs-read\u2019 e \u2018--allow-fs-write\u2019. Por exemplo, \u2018--allow-fs-read=\/home\/node\/.ssh\/*.pub\u2019 conceder\u00e1 acesso a todo o conte\u00fado de \u2018.ssh\/\u2019, e n\u00e3o apenas aos arquivos com a extens\u00e3o \u2018.pub\u2019, pois a m\u00e1scara \u2018*\u2019 \u00e9 processada como o \u00faltimo elemento do caminho.\n
CVE-2024-22025 \u2014 nega\u00e7\u00e3o de servi\u00e7o atrav\u00e9s do esgotamento de recursos ao decodificar dados comprimidos no formato Brotli, obtidos atrav\u00e9s da chamada fetch(). <\/ul>\n