Node.js before 10.24.0, 12.21.0, 14.16.0, and 15.10.0 is vulnerable to a denial of service attack when too many connection attempts with an

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• nodejs node.js10.0.0 ve sonrası · 10.24.0 öncesi
• nodejs node.js12.0.0 ve sonrası · 12.21.0 öncesi
• nodejs node.js14.0.0 ve sonrası · 14.16.0 öncesi
• nodejs node.js15.0.0 ve sonrası · 15.10.0 öncesi

Üreticinin bildirdiği sürümler

Kaydı açan otorite (hackerone) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• NodeJS Node

  • 4.0 ve sonrası · 4.* öncesietkilenir · semver
  • 5.0 ve sonrası · 5.* öncesietkilenir · semver
  • 6.0 ve sonrası · 6.* öncesietkilenir · semver
  • 7.0 ve sonrası · 7.* öncesietkilenir · semver
  • 8.0 ve sonrası · 8.* öncesietkilenir · semver
  • 9.0 ve sonrası · 9.* öncesietkilenir · semver
  • 10.0 ve sonrası · 10.24.0 öncesietkilenir · semver
  • 11.0 ve sonrası · 11.* öncesietkilenir · semver
  • 12.0 ve sonrası · 12.21.0 öncesietkilenir · semver
  • 13.0 ve sonrası · 13.* öncesietkilenir · semver

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2019-15605HTTP request smuggling in Node.js 10, 12, and 13 causes malicious payload delivery when transfer-encoding is malformed
  56Planlayın
• CVE-2021-22930Node.js before 16.6.0, 14.17.4, and 12.22.4 is vulnerable to a use after free attack where an attacker might be able to exploit the memory c
  50Planlayın
• CVE-2021-22931Node.js before 16.6.0, 14.17.4, and 12.22.4 is vulnerable to Remote Code Execution, XSS, Application crashes due to missing input validation
  46Planlayın
• CVE-2020-8277A Node.js application that allows an attacker to trigger a DNS request for a host of their choice could trigger a Denial of Service in versi
  46Planlayın
• CVE-2017-14849Node.js 8.5.0 before 8.6.0 allows remote attackers to access unintended files, because a change to ".." handling was incompatible with the p
  46Planlayın
• CVE-2019-15606Including trailing white space in HTTP header values in Nodejs 10, 12, and 13 causes bypass of authorization based on header value compariso
  45Planlayın

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

İç içe yapıları çözümleyen kod derinlik ya da boyut sınırı koymuyor. Küçük bir girdi orantısız işlem yüküne dönüşebilir.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1function expand(node) {2  return node.children.map(expand);3}

1const MAX_DEPTH = 32;2function expand(node, depth = 0) {3  if (depth > MAX_DEPTH) throw new Error("çok derin");4  return node.children.map((c) => expand(c, depth + 1));5}

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.