A OS Command Injection vulnerability exists in Node.js versions <14.21.1, <16.18.1, <18.12.1, <19.0.1 due to an insufficient IsAllowedHost c

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• nodejs node.js14.0.0 и новее · до 14.14.0 включительно
• nodejs node.js14.15.0 и новее · до 14.21.1
• nodejs node.js16.0.0 и новее · до 16.12.0 включительно
• nodejs node.js16.13.0 и новее · до 16.18.1
• nodejs node.js18.0.0 и новее · до 18.11.0 включительно
• nodejs node.js18.12.0
• nodejs node.js19.0.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (hackerone). Не зависят от анализа CPE в NVD и обычно опережают его.

• NodeJS Node

  • 4.0 и новее · до 4.*затронута · semver
  • 5.0 и новее · до 5.*затронута · semver
  • 6.0 и новее · до 6.*затронута · semver
  • 7.0 и новее · до 7.*затронута · semver
  • 8.0 и новее · до 8.*затронута · semver
  • 9.0 и новее · до 9.*затронута · semver
  • 10.0 и новее · до 10.*затронута · semver
  • 11.0 и новее · до 11.*затронута · semver
  • 12.0 и новее · до 12.*затронута · semver
  • 13.0 и новее · до 13.*затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2019-15605HTTP request smuggling in Node.js 10, 12, and 13 causes malicious payload delivery when transfer-encoding is malformed
  56В плане
• CVE-2021-22883Node.js before 10.24.0, 12.21.0, 14.16.0, and 15.10.0 is vulnerable to a denial of service attack when too many connection attempts with an
  52В плане
• CVE-2021-22930Node.js before 16.6.0, 14.17.4, and 12.22.4 is vulnerable to a use after free attack where an attacker might be able to exploit the memory c
  50В плане
• CVE-2021-22931Node.js before 16.6.0, 14.17.4, and 12.22.4 is vulnerable to Remote Code Execution, XSS, Application crashes due to missing input validation
  46В плане
• CVE-2020-8277A Node.js application that allows an attacker to trigger a DNS request for a host of their choice could trigger a Denial of Service in versi
  46В плане
• CVE-2017-14849Node.js 8.5.0 before 8.6.0 allows remote attackers to access unintended files, because a change to ".." handling was incompatible with the p
  46В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Пользовательский ввод вставляется в команду оболочки как текст. Оболочка может интерпретировать специальные символы во вводе как часть команды.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const host = req.body.host;2exec("ping -c 1 " + host, onResult);

1const host = req.body.host;2if (!/^[a-z0-9.-]{1,253}$/i.test(host)) return res.sendStatus(400);3execFile("ping", ["-c", "1", host], onResult);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.