【漏洞通告】Node.js远程代码实行漏洞 (CVE-2021-22931)

发布时间 2021-08-13

0x00 漏洞概述

CVE     ID

CVE-2021-22931

时      间

2021-08-11

类      型

RCE

等      级

高危

远程利用

影响范围


攻击复杂度


可用性


用户交互


所需权限


PoC/EXP


在野利用


 

0x01 漏洞详情

image.png

Node.js是一个基于Chrome V8引擎的JavaScript运行环境,它使用高效、轻量级的事件驱动、非阻塞 I/O 模型。Node.js中的包管理器npm,是全球主流的开源库生态系统。

2021年8月11日,Node.js发布了v16.x、v14.x 和 v12.x发行版的安全更新,修复了Node.js中的一个远程代码实行漏洞(CVE-2021-22931,高危),详情如下:

由于Node.js DNS库中的域名服务器返回的主机名缺少输入验证,这可能导致输出错误的主机名(可能导致域名劫持)和使用该库的应用程序中存在注入漏洞,远程攻击者可利用此漏洞实行XSS攻击、使应用程序崩溃(拒绝服务)或远程实行恶意代码。

此外,Node.js本次发布的安全更新还修复了rejectUnauthorized参数的不完整验证问题(CVE-2021-22939,低危);以及一个Use-after-free漏洞(CVE-2021-22940,高危),该漏洞是CVE-2021-22930的修复不完整导致的,攻击者可以利用内存损坏来改变进程行为。

 

影响范围

Node.js 12.x < 12.22.5 (LTS)

Node.js 14.x < 14.17.5 (LTS)

Node.js 16.x < 16.6.2 (Current)

 

0x02 处置建议

目前此漏洞已经修复。建议受影响用户及时升级更新到以下版本:

Node.js v12.22.5 (LTS)

Node.js v14.17.5 (LTS)

Node.js v16.6.2 (Current)

下载链接:

https://nodejs.org/en/download/

 

0x03 参考链接

https://nodejs.org/en/blog/vulnerability/aug-2021-security-releases/

https://nodejs.org/en/blog/release/v12.22.5/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22931

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-08-13

首次发布

 

0x05 文档附录

CNVD:www.cnvd.org.cn

CNNVD:www.cnnvd.org.cn

CVE:cve.mitre.org

NVD:nvd.nist.gov

CVSS:www.first.org

 

0x06 关于大家

关注以下公众号,获取更多资讯:

image.png