Razvijalci strežniške JavaScript-platforme Node.js so objavili popravke 12.22.4, 14.17.4 in 16.6.0, v katerih je delno odpravljena ranljivost (CVE-2021-22930) v modulu http2 (HTTP/2.0 odjemalec), ki omogoča sprožitev zrušitve procesa ali potencialno izvedbo lastne kode v sistemu ob dostopu do nadzorovanega izvora zlonamernega napadalca.
Težava je povzročena z dostopom do že osvobojene spomina pri zapiranju povezave po prejemanju okvirjev RST_STREAM (ponastavitev toka) za tokove, v katerih potekajo intenzivne operacije branja, ki blokirajo zapis. V primeru prejemanja okvirja RST_STREAM brez navedbe kode napake modul http2 dodatno sproži postopek čiščenja že prejetih podatkov, iz katerega se za že zaprti tok ponovno kliče obdelovalec za zapiranje, kar vodi do dvojnega osvoboditve strukture podatkov.
V razpravi o popravku je bilo omenjeno, da težava ni bila popolnoma odpravljena in se pri nekoliko spremenjenih pogojih še naprej pojavlja v objavljenih posodobitvah. Analiza je pokazala, da popravilo pokriva le en poseben primer — ko je tok v načinu branja, ne pa tudi drugih stanj toka (branje in zaustavitev, zaustavitev in nekateri vrste zapisa).
Izvor: opennet.ru
