【缝隙公告】Node.js 7月多个安全缝隙

颁布功夫 2022-07-13


0x00 缝隙概述

 Node.js 是一个基于 Chrome V8 引擎的 JavaScript 运行环境。

2022年7月7日，Node.js颁布更新布告，建复了影响Node.js 18.x、16.x 和14.x所有刊行版的多个安全缝隙。

 

0x01 缝隙详情

本次建复的7个缝隙中，有2个缝隙为高危，5个缝隙为中危，详情如下：

CVE ID

名称

严沉水平

描述

CVE-2022-32213

HTTP 要求走私缝隙

中危

http�？橹械膌lhttp解析器没有正确解析和验证Transfer-Encoding头，可能导致HTTP要求走私（HRS）。

CVE-2022-32214

HTTP 要求走私缝隙

中危

http�？橹械膌lhttp解析器没有严格使用CRLF序列来限造HTTP要求，可能导致HTTP要求走私 。

CVE-2022-32215

HTTP 要求走私缝隙

中危

http�？橹械膌lhttp解析器不能正确处置多行Transfer-Encoding头信息，可能导致HTTP要求走私 。

CVE-2022-32212

DNS沉绑定

高危

由于IsIPAddress没有正确查抄IP地址是否无效，导致IsAllowedHost查抄很容易被绕过�Ｄ芄煌ü蜾榔魈峁┪扌У腎Pv4地址，浏览器将向DNS服务器发出DNS要求，为恶意DNS服务器或糊弄DNS响应的MITM攻击提供载体，以执行沉新绑定攻击并衔接到WebSocket调试器，从而实现肆意代码执行。

CVE-2022-32223

Windows DLL劫持缝隙

高危

若是Windows上有以下依赖：装置了OpenSSL并且   C:\Program Files\Common Files\SSL\openssl.cnf 存在，node.exe会尝试通过Windows中的DLL搜索挨次来搜索 providers.dll，能够通过将恶意文件 providers.dll 置于各类蹊径下并利用此缝隙。

CVE-2022-32222

启动时尝试读取文件

中危

当Node.js在基于linux的系统上启动时，它会试图读取/home/iojs/build/ws/out/Release/obj.target/deps/openssl/openssl.cnf，这个文件通常不存在�Ｄ芄煌ü唇ù宋募⒗么朔煜队跋炱渌没Вü蚕硐低持校┑哪� OpenSSL 配置。

CVE-2022-2097

OpenSSL AES OCB加密缝隙

中危

在某些情况下，使用 AES-NI 法式集优化实现的 32 位 x86 平台的 AES OCB 模式不会加密整个数据，在某些情况下可能会露出16个字节的明文。

 

影响领域

Node.js v14.x :< v14.20.0 (LTS)

Node.js v16.x :< v16.16.0 (LTS)

Node.js v18.x :< v18.5.0 (Current)

 

0x02 措置建议

目前Node.js已经建复了这些缝隙，受影响用户可升级到以下版本：

Node.js v14.20.0 (LTS)

Node.js v16.16.0 (LTS)

Node.js v18.5.0 (Current)

下载链接：

https://nodejs.org/en/download/

 

0x03 参考链接

https://nodejs.org/en/blog/vulnerability/july-2022-security-releases/

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32212

 

0x04 更新版本

版本

日期

批改内容

V1.0

2022-07-13

初次颁布

 

0x05 附录

GA黄金甲简介

GA黄金甲成立于1996年，是由留美博士严望佳女士创建的、占有齐全自主知识产权的信息安全高科技企业。是国内最具实力的信息安全产品、安全服务解决规划的领航企业之一。

公司总部位于北京市中关村软件园GA黄金甲大厦，公司员工近4000人，研发团队1200余人, 技术服务团队1300余人。在全国各省、视注自治区设立分支机构六十多个，占有覆盖全国的销售系统、渠路系统和技术支持系统。公司于2010年6月23日在深圳中幼板挂牌上市。（股票代码：002439）

多年来，GA黄金甲致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，援手客户全面提升其IT基础设施的安全性和出产效力，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。

 

关于GA黄金甲

GA黄金甲安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。

关注以下公家号，获取全球最新安全资讯：

image.png