【误差通告】Node.js远程代码执行误差 (CVE-2021-22931)

宣布时间 2021-08-13

0x00 误差概述

CVE     ID

CVE-2021-22931

时      间

2021-08-11

类      型

RCE

等      级

高危

远程使用

是

影响规模


攻击重漂后


可用性


用户交互


所需权限


PoC/EXP


在野使用


 

0x01 误差详情

image.png

Node.js是一个基于Chrome V8引擎的JavaScript运行情形 ，，，它使用高效、轻量级的事务驱动、非壅闭 I/O 模子。。。Node.js中的包管理器npm ，，，是全球主流的开源库生态系统。。。

2021年8月11日 ，，，Node.js宣布了v16.x、v14.x 和 v12.x刊行版的清静更新 ，，，修复了Node.js中的一个远程代码执行误差（CVE-2021-22931 ，，，高危） ，，，详情如下：

由于Node.js DNS库中的域名效劳器返回的主机名缺少输入验证 ，，，这可能导致输蜕化误的主机名（可能导致域名挟制）和使用该库的应用程序中保存注入误差 ，，，远程攻击者可使用此误差执行XSS攻击、使应用程序瓦解（拒绝效劳）或远程执行恶意代码。。。

别的 ，，，Node.js本次宣布的清静更新还修复了rejectUnauthorized参数的不完整验证问题（CVE-2021-22939 ，，，低危)；；以及一个Use-after-free误差（CVE-2021-22940 ，，，高危） ，，，该误差是CVE-2021-22930的修复不完整导致的 ，，，攻击者可以使用内存损坏来改变历程行为。。。

 

影响规模

Node.js 12.x < 12.22.5 (LTS)

Node.js 14.x < 14.17.5 (LTS)

Node.js 16.x < 16.6.2 (Current)

 

0x02 处置惩罚建议

现在此误差已经修复。。。建议受影响用户实时升级更新到以下版本：

Node.js v12.22.5 (LTS)

Node.js v14.17.5 (LTS)

Node.js v16.6.2 (Current)

下载链接：

https://nodejs.org/en/download/

 

0x03 参考链接

https://nodejs.org/en/blog/vulnerability/aug-2021-security-releases/

https://nodejs.org/en/blog/release/v12.22.5/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22931

 

0x04 更新版本

版本

日期

修改内容

V1.0

2021-08-13

首次宣布

 

0x05 文档附录

CNVD：www.cnvd.org.cn

CNNVD：www.cnnvd.org.cn

CVE：cve.mitre.org

NVD：nvd.nist.gov

CVSS：www.first.org

 

0x06 关于人生就是博

关注以下公众号 ，，，获取更多资讯：

image.png