BDU:2020-04460

Опубликовано: 24 июл. 2020

Источник: fstec

CVSS3: 8.1

CVSS2: 7.6

EPSS Низкий

Описание

Уязвимость функций napi_get_value_string_latin1(), napi_get_value_string_utf8(), napi_get_value_string_utf16() программной платформы Node.js связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Novell Inc.

Red Hat Inc.

Node.js Foundation

Oracle Corp.

Наименование ПО

Debian GNU/Linux

SUSE OpenStack Cloud

SUSE Linux Enterprise Module for Web Scripting

Red Hat Enterprise Linux

OpenSUSE Leap

SUSE Linux Enterprise Server for SAP Applications

Red Hat Software Collections

SUSE Linux Enterprise High Performance Computing

Suse Linux Enterprise Server

Node.js

Financial Services Applications

Версия ПО

9 (Debian GNU/Linux)

7 (SUSE OpenStack Cloud)

12 (SUSE Linux Enterprise Module for Web Scripting)

8 (Red Hat Enterprise Linux)

15.1 (OpenSUSE Leap)

15 (SUSE Linux Enterprise Server for SAP Applications)

15 SP1 (SUSE Linux Enterprise Module for Web Scripting)

Crowbar 8 (SUSE OpenStack Cloud)

10 (Debian GNU/Linux)

- (Red Hat Software Collections)

15-ESPOS (SUSE Linux Enterprise High Performance Computing)

15-LTSS (SUSE Linux Enterprise High Performance Computing)

15-LTSS (Suse Linux Enterprise Server)

Crowbar 9 (SUSE OpenStack Cloud)

8.0 Update Services for SAP Solutions (Red Hat Enterprise Linux)

8.1 Extended Update Support (Red Hat Enterprise Linux)

до 10.21.0 (Node.js)

от 12.0.0 до 12.18.0 (Node.js)

от 14.0.0 до 14.4.0 (Node.js)

15 SP2 (SUSE Linux Enterprise Module for Web Scripting)

14.3.0 (Financial Services Applications)

14.4.0 (Financial Services Applications)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Red Hat Inc. Red Hat Enterprise Linux 8

Novell Inc. OpenSUSE Leap 15.1

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Red Hat Inc. Red Hat Enterprise Linux 8.0 Update Services for SAP Solutions

Red Hat Inc. Red Hat Enterprise Linux 8.1 Extended Update Support

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Node.js:

Обновление программного обеспечения до актуальной версии

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2020-8174

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2020-8174/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2020-8174

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpujan2021.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-8174
CVE

EPSS

Процентиль: 79%

0.01274

Низкий

8.1 High

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVE-2020-8174

CVSS3: 8.1

ubuntu

около 5 лет назад

napi_get_value_string_*() allows various kinds of memory corruption in node < 10.21.0, 12.18.0, and < 14.4.0.

CVE-2020-8174

CVSS3: 8.1

redhat

около 5 лет назад

napi_get_value_string_*() allows various kinds of memory corruption in node < 10.21.0, 12.18.0, and < 14.4.0.

CVE-2020-8174

CVSS3: 8.1

nvd

около 5 лет назад

napi_get_value_string_*() allows various kinds of memory corruption in node < 10.21.0, 12.18.0, and < 14.4.0.

CVE-2020-8174

CVSS3: 8.1

msrc

около 4 лет назад

Описание отсутствует

CVE-2020-8174

CVSS3: 8.1

debian

около 5 лет назад

napi_get_value_string_*() allows various kinds of memory corruption in ...

EPSS

Процентиль: 79%

0.01274

Низкий

8.1 High

CVSS3

7.6 High

CVSS2