CVE-2021-22939: If the Node.js https API was used incorrectly and "undefined" was in passed for the "rejectUnauthorized" parameter, no error was returned an

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• nodejs node.js12.0.0 и новее · до 12.22.5
• nodejs node.js14.0.0 и новее · до 14.17.5
• nodejs node.js16.0.0 и новее · до 16.6.2

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (hackerone). Не зависят от анализа CPE в NVD и обычно опережают его.

• NodeJS Node

  • 4.0 и новее · до 4.*затронута · semver
  • 5.0 и новее · до 5.*затронута · semver
  • 6.0 и новее · до 6.*затронута · semver
  • 7.0 и новее · до 7.*затронута · semver
  • 8.0 и новее · до 8.*затронута · semver
  • 9.0 и новее · до 9.*затронута · semver
  • 10.0 и новее · до 10.*затронута · semver
  • 11.0 и новее · до 11.*затронута · semver
  • 12.0 и новее · до 12.22.5затронута · semver
  • 13.0 и новее · до 13.*затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2019-15605HTTP request smuggling in Node.js 10, 12, and 13 causes malicious payload delivery when transfer-encoding is malformed
  56В плане
• CVE-2021-22883Node.js before 10.24.0, 12.21.0, 14.16.0, and 15.10.0 is vulnerable to a denial of service attack when too many connection attempts with an
  53В плане
• CVE-2021-22930Node.js before 16.6.0, 14.17.4, and 12.22.4 is vulnerable to a use after free attack where an attacker might be able to exploit the memory c
  50В плане

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2021-2292112 июл. 2021 г. · Node.js before 16.4.1, 14.17.2, and 12.22.2 is vulnerable to local privilege escalation attacks under certain conditions on Windows platform
  33Наблюдать
• ← РаньшеCVE-2021-2293116 авг. 2021 г. · Node.js before 16.6.0, 14.17.4, and 12.22.4 is vulnerable to Remote Code Execution, XSS, Application crashes due to missing input validation
  46В плане
• Позже →CVE-2021-2294016 авг. 2021 г. · Node.js before 16.6.1, 14.17.5, and 12.22.5 is vulnerable to a use after free attack where an attacker might be able to exploit the memory c
  34Наблюдать

Первопричина

Ошибка проверки сертификата незаметно подавляется вместо разрыва соединения. Часто это код, добавленный для тестовой среды и попавший в продуктивную.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1override fun checkServerTrusted(chain: Array<X509Certificate>, type: String) {2  // Оставлено пустым для тестовой среды3}

1val client = OkHttpClient.Builder()2  .certificatePinner(3    CertificatePinner.Builder()4      .add("api.sirius.example", "sha256/…")5      .build()6  ).build()

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.