Nodejs Core 访问控制错误漏洞

admin

0
文章

0
评论

2023-12-01 17:11:39 Ali_nvd 来源：ZONE.CI 全球网 0 阅读模式

低危 Nodejs Core 访问控制错误漏洞

CVE编号

CVE-2020-8287

利用情况

POC 已公开

补丁情况

官方补丁

披露时间

2021-01-07

漏洞描述

Nodejs Core是OpenJS基金会的一个编译到Nodejs中的核心模块。该模块为Nodejs提供底层的TCP，HTTP，DNS，文件系统，子进程等功能支持。 Node Core存在安全漏洞，攻击者可利用该漏洞通过HTTP Request Smuggling绕过访问限制，以读取或更改数据。

解决建议

厂商已发布了漏洞修复程序，请及时关注更新：https://github.com/nodejs/node/commit/fc70ce08f5818a286fb5899a1bc3aff5965a745e

参考链接
https://cert-portal.siemens.com/productcert/pdf/ssa-389290.pdf
https://hackerone.com/reports/1002188
https://lists.debian.org/debian-lts-announce/2022/12/msg00009.html
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedora...
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedora...
https://nodejs.org/en/blog/vulnerability/january-2021-security-releases/
https://security.gentoo.org/glsa/202101-07
https://security.netapp.com/advisory/ntap-20210212-0003/
https://www.debian.org/security/2021/dsa-4826
https://www.oracle.com/security-alerts/cpujan2021.html

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	nodejs	node.js	*	From (including) 10.0.0	Up to (excluding) 10.23.1
	运行在以下环境
	应用	nodejs	node.js	*	From (including) 12.0.0	Up to (excluding) 12.20.1
	运行在以下环境
	应用	nodejs	node.js	*	From (including) 14.0.0	Up to (excluding) 14.15.4
	运行在以下环境
	应用	nodejs	node.js	*	From (including) 15.0.0	Up to (excluding) 15.5.1
	运行在以下环境
	系统	alpine_3.11	nodejs	*		Up to (excluding) 12.20.1-r0
	运行在以下环境
	系统	alpine_3.12	nodejs	*		Up to (excluding) 12.20.1-r0
	运行在以下环境
	系统	alpine_3.13	nodejs	*		Up to (excluding) 15.5.1-r0
	运行在以下环境
	系统	alpine_3.14	nodejs	*		Up to (excluding) 15.5.1-r0
	运行在以下环境
	系统	alpine_3.15	nodejs	*		Up to (excluding) 15.5.1-r0
	运行在以下环境
	系统	alpine_3.16	nodejs	*		Up to (excluding) 15.5.1-r0
	运行在以下环境
	系统	alpine_3.17	nodejs	*		Up to (excluding) 15.5.1-r0
	运行在以下环境
	系统	alpine_3.18	nodejs	*		Up to (excluding) 15.5.1-r0
	运行在以下环境
	系统	alpine_edge	nodejs	*		Up to (excluding) 15.5.1-r0
	运行在以下环境
	系统	centos_8	nodejs-docs	*		Up to (excluding) 1.18.3-1.module+el8+2632+6c5111ed
	运行在以下环境
	系统	debian	debian_linux	10.0	-
	运行在以下环境
	系统	debian_10	http-parser	*		Up to (excluding) 2.8.1-1+deb10u3
	运行在以下环境
	系统	debian_11	http-parser	*		Up to (excluding) 2.9.4-4+deb11u1
	运行在以下环境
	系统	debian_12	http-parser	*		Up to (excluding) 2.9.4-5
	运行在以下环境
	系统	debian_9	nodejs	*		Up to (including) 4.8.2~dfsg-1
	运行在以下环境
	系统	debian_sid	http-parser	*		Up to (excluding) 2.9.4-5
	运行在以下环境
	系统	fedoraproject	fedora	33	-
	运行在以下环境
	系统	fedora_32	npm-6.14.10-1.12.20.1.1.fc32.i686.rpm (	*		Up to (excluding) 12.20.1-1.fc32
	运行在以下环境
	系统	fedora_32_Modular	nodejs	*		Up to (excluding) 14-3220210105180508.43bbeeef
	运行在以下环境
	系统	fedora_33	v8-devel-8.4.371.19-1.14.15.4.1.fc33.x86_64.rpm (	*		Up to (excluding) 14.15.4-1.fc33
	运行在以下环境
	系统	fedora_33_Modular	nodejs	*		Up to (excluding) 10-3320210105182003.601d93de
	运行在以下环境
	系统	opensuse_Leap_15.1	nodejs10	*		Up to (excluding) 10.23.1-lp151.2.15.1
	运行在以下环境
	系统	opensuse_Leap_15.2	nodejs8-devel	*		Up to (excluding) 14.15.4-lp152.5.1
	运行在以下环境
	系统	oracle_8	oraclelinux-release	*		Up to (excluding) 1.18.3-1.module+el8.1.0+5392+4d6b561f
	运行在以下环境
	系统	redhat_8	nodejs-docs	*		Up to (excluding) 1.18.3-1.module+el8+2632+6c5111ed
	运行在以下环境
	系统	ubuntu_18.04	http-parser	*		Up to (excluding) 2.7.1-2ubuntu0.1
	运行在以下环境
	系统	ubuntu_20.04	nodejs	*		Up to (excluding) 10.19.0~dfsg-3ubuntu1.1