BDU:2024-03121

Опубликовано: 04 апр. 2024

Источник: fstec

CVSS3: 3.9

CVSS2: 4.6

EPSS Низкий

Описание

Уязвимость клиента HTTP/1.1 undici программной платформы Node.js связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Novell Inc.

Fedora Project

Node.js Foundation

ООО «РусБИТех-Астра»

Наименование ПО

OpenSUSE Leap

openSUSE Tumbleweed

Fedora

SUSE Linux Enterprise Server for SAP Applications

Suse Linux Enterprise Server

SUSE Linux Enterprise High Performance Computing

SUSE Linux Enterprise Module for Web Scripting

Undici

Astra Linux Special Edition

Версия ПО

15.5 (OpenSUSE Leap)

- (openSUSE Tumbleweed)

38 (Fedora)

39 (Fedora)

15 SP5 (SUSE Linux Enterprise Server for SAP Applications)

15 SP5 (Suse Linux Enterprise Server)

15 SP5 (SUSE Linux Enterprise High Performance Computing)

15 SP5 (SUSE Linux Enterprise Module for Web Scripting)

до 5.28.4 (Undici)

до 6.11.1 (Undici)

1.8 (Astra Linux Special Edition)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое средство

Операционные системы и аппаратные платформы

Novell Inc. OpenSUSE Leap 15.5

Novell Inc. openSUSE Tumbleweed -

Fedora Project Fedora 38

Fedora Project Fedora 39

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP5

Novell Inc. Suse Linux Enterprise Server 15 SP5

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,6)

Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,9)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Node.js Foundation:

https://github.com/nodejs/undici/commit/64e3402da4e032e68de46acb52800c9a06aaea3f

https://github.com/nodejs/undici/commit/6805746680d27a5369d7fb67bc05f95a28247d75

https://github.com/nodejs/undici/security/advisories/GHSA-m4v8-wqvr-p9f7

Для продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2024-30260.html

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HQVHWAS6WDXXIU7F72XI55VZ2LTZUB33/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/P6Q4RGETHVYVHDIQGTJGU5AV6NJEI67E/

Для ОС Astra Linux:

обновить пакет node-undici до 5.28.4+dfsg1+~cs23.12.11-2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-30260
CVE

EPSS

Процентиль: 41%

0.00188

Низкий

3.9 Low

CVSS3

4.6 Medium

CVSS2

Связанные уязвимости

CVE-2024-30260

CVSS3: 3.9

ubuntu

почти 2 года назад

Undici is an HTTP/1.1 client, written from scratch for Node.js. Undici cleared Authorization and Proxy-Authorization headers for `fetch()`, but did not clear them for `undici.request()`. This vulnerability was patched in version(s) 5.28.4 and 6.11.1.

CVE-2024-30260

CVSS3: 3.9

redhat

почти 2 года назад

CVE-2024-30260

CVSS3: 3.9

nvd

почти 2 года назад

CVE-2024-30260

CVSS3: 4.3

msrc

около 1 года назад

Описание отсутствует

CVE-2024-30260

CVSS3: 3.9

debian

почти 2 года назад

Undici is an HTTP/1.1 client, written from scratch for Node.js. Undici ...

EPSS

Процентиль: 41%

0.00188

Низкий

3.9 Low

CVSS3

4.6 Medium

CVSS2