BDU:2021-04995

Опубликовано: 14 окт. 2021

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость компонента LLHTTP программного средства работы с объектами NodeJS связана с несогласованностью при интерпретации заголовков HTTP-запросов, Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии

Вендор

Сообщество свободного программного обеспечения

Node.js Foundation

Наименование ПО

Debian GNU/Linux

Node.js

Версия ПО

9 (Debian GNU/Linux)

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

до 12.22.7 (Node.js)

до 14.18.1 (Node.js)

до 16.11.1 (Node.js)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для NodeJS:

https://nodejs.org/en/blog/release/v12.22.7/

Для Debian/GNU Linux:

https://security-tracker.debian.org/tracker/CVE-2021-22959

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-22959
CVE

EPSS

Процентиль: 41%

0.00186

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2021-22959

CVSS3: 6.5

ubuntu

больше 3 лет назад

The parser in accepts requests with a space (SP) right after the header name before the colon. This can lead to HTTP Request Smuggling (HRS) in llhttp < v2.1.4 and < v6.0.6.

CVE-2021-22959

CVSS3: 6.1

redhat

почти 4 года назад

The parser in accepts requests with a space (SP) right after the header name before the colon. This can lead to HTTP Request Smuggling (HRS) in llhttp < v2.1.4 and < v6.0.6.

CVE-2021-22959

CVSS3: 6.5

nvd

больше 3 лет назад

The parser in accepts requests with a space (SP) right after the header name before the colon. This can lead to HTTP Request Smuggling (HRS) in llhttp < v2.1.4 and < v6.0.6.

CVE-2021-22959

CVSS3: 6.5

debian

больше 3 лет назад

The parser in accepts requests with a space (SP) right after the heade ...

GHSA-mhxq-vjjq-pcvf

CVSS3: 6.5

github

около 3 лет назад

The parser in accepts requests with a space (SP) right after the header name before the colon. This can lead to HTTP Request Smuggling (HRS) in llhttp < v2.1.4 and < v6.0.6.

EPSS

Процентиль: 41%

0.00186

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2