Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-01672

Опубликовано: 19 фев. 2024
Источник: fstec
CVSS3: 8.8
CVSS2: 10
EPSS Низкий

Описание

Уязвимость программной платформы Node.js связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с повышенными привилегиями при обработке исключения CAP_NET_BIND_SERVICE

Вендор

Red Hat Inc.
Node.js Foundation

Наименование ПО

Red Hat Enterprise Linux
Node.js

Версия ПО

8 (Red Hat Enterprise Linux)
9 (Red Hat Enterprise Linux)
от 18.0 до 18.19.1 (Node.js)
от 20.0 до 20.11.1 (Node.js)
от 21.0 до 21.6.2 (Node.js)

Тип ПО

Операционная система
Сетевое программное средство

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8
Red Hat Inc. Red Hat Enterprise Linux 9

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование антивирусного программного обеспечения для отслеживания средств эксплуатации уязвимости;
- отключение/удаление неиспользуемых учётных записей пользователей;
- минимизация пользовательских привилегий.
Использование рекомендаций производителя:
Для Node.js:
https://nodejs.org/en/blog/release/v20.11.1
https://nodejs.org/en/blog/vulnerability/february-2024-security-releases/#code-injection-and-privilege-escalation-through-linux-capabilities-cve-2024-21892---high
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2024-21892

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 44%
0.00213
Низкий

8.8 High

CVSS3

10 Critical

CVSS2

Связанные уязвимости

redos логотип

ROS-20240812-08

CVSS3: 8.8
redos
10 месяцев назад

Уязвимость nodejs

ubuntu логотип

CVE-2024-21892

CVSS3: 7.8
ubuntu
больше 1 года назад

On Linux, Node.js ignores certain environment variables if those may have been set by an unprivileged user while the process is running with elevated privileges with the only exception of CAP_NET_BIND_SERVICE. Due to a bug in the implementation of this exception, Node.js incorrectly applies this exception even when certain other capabilities have been set. This allows unprivileged users to inject code that inherits the process's elevated privileges.

redhat логотип

CVE-2024-21892

CVSS3: 8.1
redhat
больше 1 года назад

On Linux, Node.js ignores certain environment variables if those may have been set by an unprivileged user while the process is running with elevated privileges with the only exception of CAP_NET_BIND_SERVICE. Due to a bug in the implementation of this exception, Node.js incorrectly applies this exception even when certain other capabilities have been set. This allows unprivileged users to inject code that inherits the process's elevated privileges.

nvd логотип

CVE-2024-21892

CVSS3: 7.8
nvd
больше 1 года назад

On Linux, Node.js ignores certain environment variables if those may have been set by an unprivileged user while the process is running with elevated privileges with the only exception of CAP_NET_BIND_SERVICE. Due to a bug in the implementation of this exception, Node.js incorrectly applies this exception even when certain other capabilities have been set. This allows unprivileged users to inject code that inherits the process's elevated privileges.

msrc логотип

CVE-2024-21892

CVSS3: 7.8
msrc
больше 1 года назад

Описание отсутствует

EPSS

Процентиль: 44%
0.00213
Низкий

8.8 High

CVSS3

10 Critical

CVSS2