Node.js远程代码执行漏洞CVE-2021-22930
日期:2021-08-03 08:52:08 发布人:教育信息化建设处 浏览量:881
组件介绍
Node.js是美国Joyent公司的一套建立在Google V8 JavaScript引擎之上的网络应用平台。该平台主要用于构建高度可伸缩的应用程序,以及编写能够处理数万条且同时连接到一个物理机的连接代码。
漏洞描述
近日,深信服安全团队监测到一则Node.js组件存在远程代码执行漏洞的信息,漏洞编号:CVE-2021-22930,漏洞威胁等级:高危。
该漏洞是由于在Node.js解析传入的RST_STREAM帧时,对接收到的 RST_STREAM 帧的处理中没有错误代码和取消错误代码,接收器将试图强制清除收到的任何数据,这会导致nghttp2关闭已经破坏的数据流,从而导致double-free错误。攻击者可利用该漏洞在未授权的情况下,构造恶意数据执行远程代码执行攻击,最终获取服务器控制权。
影响范围
可能受漏洞影响的资产广泛分布于世界各地,主要集中在,美国、中国、德国等国家,国内主要集中在北京, 在浙江、上海等地也有少量分布。
目前受影响的Node.js版本:
Node.js < 12.22.4 (LTS)
Node.js < 14.17.4 (LTS)
Node.js < 16.6.0 (Current)
如何检测组件系统版本
在Node.js安装路径下输入 :
Node -v
官方修复建议
当前官方已发布最新版本,建议受影响的用户及时更新升级到最新版本。链接如下:
https://nodejs.org/en/blog/vulnerability/july-2021-security-releases-2/
- 上一篇:RDP 客户端远程代码执...
- 下一篇:Chrome v8类型混淆漏...