The implementation of realpath in libuv < 10.22.1, < 12.18.4, and < 14.9.0 used within Node.js incorrectly determined the buffer size which

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• nodejs node.js10.0.0 и новее · до 10.22.1
• nodejs node.js12.0.0 и новее · до 12.18.4
• nodejs node.js14.0.0 и новее · до 14.9.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (hackerone). Не зависят от анализа CPE в NVD и обычно опережают его.

• NodeJS Node

  • 4.0 и новее · до 4.*затронута · semver
  • 5.0 и новее · до 5.*затронута · semver
  • 6.0 и новее · до 6.*затронута · semver
  • 7.0 и новее · до 7.*затронута · semver
  • 8.0 и новее · до 8.*затронута · semver
  • 9.0 и новее · до 9.*затронута · semver
  • 10.0 и новее · до 10.22.1затронута · semver
  • 11.0 и новее · до 11.*затронута · semver
  • 12.0 и новее · до 12.18.4затронута · semver
  • 13.0 и новее · до 13.*затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2019-15605HTTP request smuggling in Node.js 10, 12, and 13 causes malicious payload delivery when transfer-encoding is malformed
  56В плане
• CVE-2021-22883Node.js before 10.24.0, 12.21.0, 14.16.0, and 15.10.0 is vulnerable to a denial of service attack when too many connection attempts with an
  53В плане
• CVE-2021-22930Node.js before 16.6.0, 14.17.4, and 12.22.4 is vulnerable to a use after free attack where an attacker might be able to exploit the memory c
  50В плане
• CVE-2021-22931Node.js before 16.6.0, 14.17.4, and 12.22.4 is vulnerable to Remote Code Execution, XSS, Application crashes due to missing input validation
  46В плане
• CVE-2020-8277A Node.js application that allows an attacker to trigger a DNS request for a host of their choice could trigger a Denial of Service in versi
  46В плане
• CVE-2017-14849Node.js 8.5.0 before 8.6.0 allows remote attackers to access unintended files, because a change to ".." handling was incompatible with the p
  46В плане

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

При копировании данных длина источника не сравнивается с размером целевого буфера. Лишние данные перезаписывают соседнюю область памяти.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1char buf[256];2memcpy(buf, pkt->data, pkt->len);

1char buf[256];2if (pkt->len > sizeof(buf)) {3  return -EINVAL;4}5memcpy(buf, pkt->data, pkt->len);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.