BDU:2021-04996

Опубликовано: 12 окт. 2021

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость компонента LLHTTP программного средства работы с объектами NodeJS связана с несогласованностью при интерпретации заголовков HTTP-запросов, Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии

Вендор

Сообщество свободного программного обеспечения

Node.js Foundation

Наименование ПО

Debian GNU/Linux

Node.js

Версия ПО

9 (Debian GNU/Linux)

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

до 12.22.7 (Node.js)

до 14.18.1 (Node.js)

до 16.11.1 (Node.js)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для NodeJS:

https://nodejs.org/en/blog/release/v12.22.7/

Для Debian/GNU Linux:

https://security-tracker.debian.org/tracker/CVE-2021-22960

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-22960
CVE

EPSS

Процентиль: 43%

0.00206

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2021-22960

CVSS3: 6.5

ubuntu

больше 3 лет назад

The parse function in llhttp < 2.1.4 and < 6.0.6. ignores chunk extensions when parsing the body of chunked requests. This leads to HTTP Request Smuggling (HRS) under certain conditions.

CVE-2021-22960

CVSS3: 6.1

redhat

больше 3 лет назад

The parse function in llhttp < 2.1.4 and < 6.0.6. ignores chunk extensions when parsing the body of chunked requests. This leads to HTTP Request Smuggling (HRS) under certain conditions.

CVE-2021-22960

CVSS3: 6.5

nvd

больше 3 лет назад

The parse function in llhttp < 2.1.4 and < 6.0.6. ignores chunk extensions when parsing the body of chunked requests. This leads to HTTP Request Smuggling (HRS) under certain conditions.

CVE-2021-22960

CVSS3: 6.5

debian

больше 3 лет назад

The parse function in llhttp < 2.1.4 and < 6.0.6. ignores chunk extens ...

GHSA-px8h-5r3g-hj68

CVSS3: 6.5

github

около 3 лет назад

The parse function in llhttp < 2.1.4 and < 6.0.6. ignores chunk extensions when parsing the body of chunked requests. This leads to HTTP Request Smuggling (HRS) under certain conditions.

EPSS

Процентиль: 43%

0.00206

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2