Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-02171

Опубликовано: 16 авг. 2021
Источник: fstec
CVSS3: 5.3
CVSS2: 5
EPSS Низкий

Описание

Уязвимость компонента API https программной платформы Node.js связана с недостаточной проверкой значения rejectUnauthorized. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных

Вендор

Сообщество свободного программного обеспечения
Oracle Corp.
Red Hat Inc.
ООО «РусБИТех-Астра»
Node.js Foundation
АО "НППКТ"

Наименование ПО

Debian GNU/Linux
PeopleSoft Enterprise PeopleTools
Red Hat Enterprise Linux
Red Hat Software Collections
Astra Linux Special Edition
Node.js
MySQL Cluster
ОСОН ОСнова Оnyx

Версия ПО

9 (Debian GNU/Linux)
8.57 (PeopleSoft Enterprise PeopleTools)
8 (Red Hat Enterprise Linux)
10 (Debian GNU/Linux)
- (Red Hat Software Collections)
8.58 (PeopleSoft Enterprise PeopleTools)
8.1 Extended Update Support (Red Hat Enterprise Linux)
11 (Debian GNU/Linux)
1.7 (Astra Linux Special Edition)
8.59 (PeopleSoft Enterprise PeopleTools)
от 12.0.0 до 12.22.5 (Node.js)
от 14.0.0 до 14.17.5 (Node.js)
от 16.0.0 до 16.6.2 (Node.js)
до 8.0.26 включительно (MySQL Cluster)
4.7 (Astra Linux Special Edition)
до 2.9 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система
Прикладное ПО информационных систем
Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Red Hat Inc. Red Hat Enterprise Linux 8.1 Extended Update Support
Сообщество свободного программного обеспечения Debian GNU/Linux 11
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО "НППКТ" ОСОН ОСнова Оnyx до 2.9

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Для Node.js:
использование рекомендаций производителя: https://nodejs.org/en/blog/vulnerability/aug-2021-security-releases/
Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-22939
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2021-22939
Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/cpuoct2021.html
https://www.oracle.com/security-alerts/cpujan2022.html
Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD
Для ОС Astra Linux Special Edition 4.7 для архитектуры ARM:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0131SE47MD
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения nodejs до версии 10.24.0~dfsg-1~deb10u3.osnova5

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 35%
0.00138
Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVSS3: 5.3
ubuntu
почти 4 года назад

If the Node.js https API was used incorrectly and "undefined" was in passed for the "rejectUnauthorized" parameter, no error was returned and connections to servers with an expired certificate would have been accepted.

CVSS3: 3.7
redhat
почти 4 года назад

If the Node.js https API was used incorrectly and "undefined" was in passed for the "rejectUnauthorized" parameter, no error was returned and connections to servers with an expired certificate would have been accepted.

CVSS3: 5.3
nvd
почти 4 года назад

If the Node.js https API was used incorrectly and "undefined" was in passed for the "rejectUnauthorized" parameter, no error was returned and connections to servers with an expired certificate would have been accepted.

CVSS3: 5.3
debian
почти 4 года назад

If the Node.js https API was used incorrectly and "undefined" was in p ...

CVSS3: 5.3
github
около 3 лет назад

If the Node.js https API was used incorrectly and "undefined" was in passed for the "rejectUnauthorized" parameter, no error was returned and connections to servers with an expired certificate would have been accepted.

EPSS

Процентиль: 35%
0.00138
Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2