CVE-2022-32215

Опубликовано: 14 июл. 2022

Источник: nvd

CVSS3: 6.5

EPSS Высокий

Описание

The llhttp parser <v14.20.1, <v16.17.1 and <v18.9.1 in the http module in Node.js does not correctly handle multi-line Transfer-Encoding headers. This can lead to HTTP Request Smuggling (HRS).

Ссылки

https://cert-portal.siemens.com/productcert/pdf/ssa-332410.pdf
Patch
Third Party Advisory
https://hackerone.com/reports/1501679
Exploit
Issue Tracking
Third Party Advisory
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/2ICG6CSIB3GUWH5DUSQEVX53MOJW7LYK/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QCNN3YG2BCLS4ZEKJ3CLSUT6AS7AXTH3/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VMQK5L5SBYD47QQZ67LEMHNQ662GH3OY/
https://nodejs.org/en/blog/vulnerability/july-2022-security-releases/
Patch
Vendor Advisory
https://www.debian.org/security/2023/dsa-5326
Third Party Advisory
https://cert-portal.siemens.com/productcert/pdf/ssa-332410.pdf
Patch
Third Party Advisory
https://hackerone.com/reports/1501679
Exploit
Issue Tracking
Third Party Advisory
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/2ICG6CSIB3GUWH5DUSQEVX53MOJW7LYK/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QCNN3YG2BCLS4ZEKJ3CLSUT6AS7AXTH3/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/VMQK5L5SBYD47QQZ67LEMHNQ662GH3OY/
https://nodejs.org/en/blog/vulnerability/july-2022-security-releases/
Patch
Vendor Advisory
https://www.debian.org/security/2023/dsa-5326
Third Party Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:llhttp:llhttp:*:*:*:*:*:node.js:*:*

Версия от 14.0.0 (включая) до 14.20.1 (исключая)

cpe:2.3:a:llhttp:llhttp:*:*:*:*:*:node.js:*:*

Версия от 16.0.0 (включая) до 16.17.1 (исключая)

cpe:2.3:a:llhttp:llhttp:*:*:*:*:*:*:*:*

Версия от 18.0.0 (включая) до 18.9.1 (исключая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:*

Версия от 14.0.0 (включая) до 14.14.0 (включая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:*

Версия от 14.15.0 (включая) до 14.20.0 (исключая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:*

Версия от 16.0.0 (включая) до 16.12.0 (включая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:*

Версия от 16.13.0 (включая) до 16.16.0 (исключая)

cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:*

Версия от 18.0.0 (включая) до 18.5.0 (исключая)

Конфигурация 2

Одно из

cpe:2.3:o:fedoraproject:fedora:35:*:*:*:*:*:*:*

cpe:2.3:o:fedoraproject:fedora:36:*:*:*:*:*:*:*

cpe:2.3:o:fedoraproject:fedora:37:*:*:*:*:*:*:*

Конфигурация 3

Одно из

cpe:2.3:a:siemens:sinec_ins:1.0:-:*:*:*:*:*:*

cpe:2.3:a:siemens:sinec_ins:1.0:sp1:*:*:*:*:*:*

cpe:2.3:a:siemens:sinec_ins:1.0:sp2:*:*:*:*:*:*

Конфигурация 4

cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*

Конфигурация 5

cpe:2.3:a:stormshield:stormshield_management_center:*:*:*:*:*:*:*:*

Версия до 3.3.2 (исключая)

EPSS

Процентиль: 99%

0.88489

Высокий

6.5 Medium

CVSS3

Дефекты

CWE-444

Связанные уязвимости

CVE-2022-32215

CVSS3: 6.5

ubuntu

почти 3 года назад

The llhttp parser <v14.20.1, <v16.17.1 and <v18.9.1 in the http module in Node.js does not correctly handle multi-line Transfer-Encoding headers. This can lead to HTTP Request Smuggling (HRS).

CVE-2022-32215

CVSS3: 6.5

redhat

почти 3 года назад

The llhttp parser <v14.20.1, <v16.17.1 and <v18.9.1 in the http module in Node.js does not correctly handle multi-line Transfer-Encoding headers. This can lead to HTTP Request Smuggling (HRS).

CVE-2022-32215

CVSS3: 6.5

msrc

почти 3 года назад

Описание отсутствует

CVE-2022-32215

CVSS3: 6.5

debian

почти 3 года назад

The llhttp parser <v14.20.1, <v16.17.1 and <v18.9.1 in the http module ...

GHSA-5492-mr68-4m2h

CVSS3: 9.1

github

почти 3 года назад

The llhttp parser in the http module in Node v17.6.0 does not correctly handle multi-line Transfer-Encoding headers. This can lead to HTTP Request Smuggling (HRS).

EPSS

Процентиль: 99%

0.88489

Высокий

6.5 Medium

CVSS3

Дефекты

CWE-444