Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-01896

Опубликовано: 25 нояб. 2020
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Критический

Описание

Уязвимость программной платформы Node.js связана с некорректной обработкой большого количества запросов с unknownProtocol. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения
Red Hat Inc.
Fedora Project
Node.js Foundation
АО «ИВК»
АО "НППКТ"

Наименование ПО

Debian GNU/Linux
Red Hat Enterprise Linux
Fedora
Node.js
Альт 8 СП
ОСОН ОСнова Оnyx

Версия ПО

9 (Debian GNU/Linux)
8 (Red Hat Enterprise Linux)
10 (Debian GNU/Linux)
32 (Fedora)
8.1 Extended Update Support (Red Hat Enterprise Linux)
33 (Fedora)
34 (Fedora)
от 10.0.0 до 10.24.0 (Node.js)
от 12.0.0 до 12.21.0 (Node.js)
от 14.0.0 до 14.16.0 (Node.js)
от 15.0.0 до 15.10.0 (Node.js)
- (Альт 8 СП)
до 2.4.3 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система
Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Fedora Project Fedora 32
Red Hat Inc. Red Hat Enterprise Linux 8.1 Extended Update Support
Fedora Project Fedora 33
Fedora Project Fedora 34
АО «ИВК» Альт 8 СП -

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Node.js:
Обновление программного обеспечения до 12.21.0~dfsg-3 или более поздней версии
Для Debian:
Обновление программного обеспечения (пакета nodejs) до 10.24.0~dfsg-1~deb10u1 или более поздней версии
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/E4FRS5ZVK4ZQ7XIJQNGIKUXG2DJFHLO7/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/F45Y7TXSU33MTKB6AGL2Q5V5ZOCNPKOG/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HSYFUGKFUSZ27M5TEZ3FKILWTWFJTFAZ/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2021-22883
Для ОСОН Основа:
Обновление программного обеспечения nodejs до версии 10.24.0~dfsg-1~deb10u1.osnova4
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 100%
0.92827
Критический

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
больше 4 лет назад

Node.js before 10.24.0, 12.21.0, 14.16.0, and 15.10.0 is vulnerable to a denial of service attack when too many connection attempts with an 'unknownProtocol' are established. This leads to a leak of file descriptors. If a file descriptor limit is configured on the system, then the server is unable to accept new connections and prevent the process also from opening, e.g. a file. If no file descriptor limit is configured, then this lead to an excessive memory usage and cause the system to run out of memory.

CVSS3: 7.5
redhat
больше 4 лет назад

Node.js before 10.24.0, 12.21.0, 14.16.0, and 15.10.0 is vulnerable to a denial of service attack when too many connection attempts with an 'unknownProtocol' are established. This leads to a leak of file descriptors. If a file descriptor limit is configured on the system, then the server is unable to accept new connections and prevent the process also from opening, e.g. a file. If no file descriptor limit is configured, then this lead to an excessive memory usage and cause the system to run out of memory.

CVSS3: 7.5
nvd
больше 4 лет назад

Node.js before 10.24.0, 12.21.0, 14.16.0, and 15.10.0 is vulnerable to a denial of service attack when too many connection attempts with an 'unknownProtocol' are established. This leads to a leak of file descriptors. If a file descriptor limit is configured on the system, then the server is unable to accept new connections and prevent the process also from opening, e.g. a file. If no file descriptor limit is configured, then this lead to an excessive memory usage and cause the system to run out of memory.

CVSS3: 7.5
debian
больше 4 лет назад

Node.js before 10.24.0, 12.21.0, 14.16.0, and 15.10.0 is vulnerable to ...

CVSS3: 7.5
github
около 3 лет назад

Node.js before 10.24.0, 12.21.0, 14.16.0, and 15.10.0 is vulnerable to a denial of service attack when too many connection attempts with an 'unknownProtocol' are established. This leads to a leak of file descriptors. If a file descriptor limit is configured on the system, then the server is unable to accept new connections and prevent the process also from opening, e.g. a file. If no file descriptor limit is configured, then this lead to an excessive memory usage and cause the system to run out of memory.

EPSS

Процентиль: 100%
0.92827
Критический

7.5 High

CVSS3

7.8 High

CVSS2