【漏洞通告】Node.js 远程代码实行漏洞(CVE-2021-22930)

发布时间 2021-08-02

0x00 漏洞概述

CVE     ID

CVE-2021-22930

时      间

2021-07-29

类      型

RCE

等      级

高危

远程利用

影响范围


攻击复杂度


可用性


用户交互


所需权限


PoC/EXP


在野利用


 

0x01 漏洞详情

image.png

2021年7月29日,Node.js发布了v16.x、v14.x 和 v12.x发行版的安全更新,修复了Node.js中的一个Use-After-Free漏洞(CVE-2021-22930),攻击者可以利用此漏洞破坏进程并导致意外行为,例如使应用程序崩溃(拒绝服务)或远程实行代码。

该漏洞与HTTP2 流的处理方式有关。在Node.js解析传入的RST_STREAM帧(用于终止连接)时,由于对接收到的 RST_STREAM 帧的处理中没有错误代码和取消错误代码(nghttp2_cancel),接收器将试图强制清除收到的任何数据,这会导致nghttp2关闭已经破坏的流,从而导致double-free错误。

 

影响范围

16.x、14.x和12.x发行版的所有版本

 

0x02 处置建议

目前此漏洞已经修复。建议及时更新到以下版本:

Node.js v12.22.4 (LTS)

Node.js v14.17.4 (LTS)

Node.js v16.6.0 (Current)

下载链接:

https://nodejs.org/en/blog/vulnerability/july-2021-security-releases-2/

 

0x03 参考链接

https://nodejs.org/en/blog/vulnerability/july-2021-security-releases-2/

https://www.bleepingcomputer.com/news/security/nodejs-fixes-severe-http-bug-that-could-let-attackers-crash-apps/

https://github.com/nodejs/node/pull/39527/commits/ba2ac7bb47406815c98366c5a591053414a1daf3#diff-33f026e43570112875cf4c8eab6743496f3aa014329611128e348ec23d6f771cR2165

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-08-02

首次发布

 

0x05 文档附录

CNVD:www.cnvd.org.cn

CNNVD:www.cnnvd.org.cn

CVE:cve.mitre.org

NVD:nvd.nist.gov

CVSS:www.first.org

 

0x06 关于大家

关注以下公众号,获取更多资讯:

image.png         image.png