Utvecklarna av serverplattformen Node.js för JavaScript har publicerat patchversioner 12.22.4, 14.17.4 och 16.6.0, där en del av sårbarheten (CVE-2021-22930) i http2-modulen (HTTP/2.0-klienten) har åtgärdats, vilket kan leda till krasch av processen eller potentiellt möjliggöra exekvering av skadlig kod i systemet när man kontaktar en av en angripare kontrollerad värd.
Problemet orsakas av åtkomst till ett redan frigivet minnesområde vid stängning av anslutningen efter mottagande av RST_STREAM-ramar (strömåterställning) för strömmar där intensiva läsoperationer blockerar skrivande. Vid mottagande av en RST_STREAM-ram utan angivet felkod anropar http2-modulen dessutom en rensningsprocedur av redan mottagna data, vilket leder till att stängningshanteraren för den redan stängda strömmen återigen anropas, vilket resulterar i dubbel frigöring av datastrukturer.
I diskussionen om patchen nämns att problemet inte har lösts helt och fortsätter att uppträda under något ändrade förhållanden i de publicerade uppdateringarna. Analysen visade att patchen enbart täcker ett av de specifika fallen – när strömmen är i läsläge, men inte tar hänsyn till andra strömtillstånd (läsning och paus, paus och vissa typer av skrivande).
Källa: opennet.ru
