Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-07321

Опубликовано: 07 июл. 2022
Источник: fstec
CVSS3: 8.1
CVSS2: 7.6
EPSS Низкий

Описание

Уязвимость функции IsIPAddress() программной платформы Node.js связана с отсутствием мер по очистке входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
Node.js Foundation
АО "НППКТ"

Наименование ПО

Debian GNU/Linux
Astra Linux Special Edition
Node.js
ОСОН ОСнова Оnyx

Версия ПО

10 (Debian GNU/Linux)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
1.7 (Astra Linux Special Edition)
от 14.0.0 до 14.14.0 включительно (Node.js)
от 14.15.0 до 14.20.1 включительно (Node.js)
от 16.0.0 до 16.12.0 включительно (Node.js)
до 2.10.1 (ОСОН ОСнова Оnyx)
от 16.13.0 до 16.17.1 включительно (Node.js)
от 18.0.0 до 18.5.0 включительно (Node.js)

Тип ПО

Операционная система
Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО "НППКТ" ОСОН ОСнова Оnyx до 2.10.1

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Для Node.js:
использование рекомендаций производителя: https://nodejs.org/en/blog/vulnerability/july-2022-security-releases/#dns-rebinding-in-inspect-via-invalid-ip-addresses-high-cve-2022-32212
Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2022-32212
Для ОС Astra Linux:
обновить пакет nodejs до 10.24.0~dfsg-1~deb10u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD
Для ОСОН ОСнова Оnyx: Обновление программного обеспечения nodejs до версии 10.24.0~dfsg-1~deb10u4.osnova6
Для ОСОН ОСнова Оnyx: Обновление программного обеспечения nodejs до версии 10.24.0~dfsg-1~deb10u3.osnova5

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 20%
0.00064
Низкий

8.1 High

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVSS3: 8.1
ubuntu
почти 3 года назад

A OS Command Injection vulnerability exists in Node.js versions <14.20.0, <16.20.0, <18.5.0 due to an insufficient IsAllowedHost check that can easily be bypassed because IsIPAddress does not properly check if an IP address is invalid before making DBS requests allowing rebinding attacks.

CVSS3: 7.5
redhat
почти 3 года назад

A OS Command Injection vulnerability exists in Node.js versions <14.20.0, <16.20.0, <18.5.0 due to an insufficient IsAllowedHost check that can easily be bypassed because IsIPAddress does not properly check if an IP address is invalid before making DBS requests allowing rebinding attacks.

CVSS3: 8.1
nvd
почти 3 года назад

A OS Command Injection vulnerability exists in Node.js versions <14.20.0, <16.20.0, <18.5.0 due to an insufficient IsAllowedHost check that can easily be bypassed because IsIPAddress does not properly check if an IP address is invalid before making DBS requests allowing rebinding attacks.

CVSS3: 8.1
msrc
почти 3 года назад

Описание отсутствует

CVSS3: 8.1
debian
почти 3 года назад

A OS Command Injection vulnerability exists in Node.js versions <14.20 ...

EPSS

Процентиль: 20%
0.00064
Низкий

8.1 High

CVSS3

7.6 High

CVSS2

Уязвимость BDU:2024-07321