【漏洞通告】Node.js远程代码执行漏洞 (CVE-2021-22931)
发布时间 2021-08-130x00 漏洞概述
CVE ID | CVE-2021-22931 | 时 间 | 2021-08-11 |
类 型 | RCE | 等 级 | 高危 |
远程利用 | 是 | 影响范围 | |
攻击复杂度 | 可用性 | ||
用户交互 | 所需权限 | ||
PoC/EXP | 在野利用 |
0x01 漏洞详情
Node.js是一个基于Chrome V8引擎的JavaScript运行环境，它使用高效、轻量级的事件驱动、非阻塞 I/O 模型。Node.js中的包管理器npm，是全球主流的开源库生态系统。
2021年8月11日，Node.js发布了v16.x、v14.x 和 v12.x发行版的安全更新，修复了Node.js中的一个远程代码执行漏洞（CVE-2021-22931，高危），详情如下：
由于Node.js DNS库中的域名服务器返回的主机名缺少输入验证，这可能导致输出错误的主机名（可能导致域名劫持）和使用该库的应用程序中存在注入漏洞，远程攻击者可利用此漏洞执行XSS攻击、使应用程序崩溃（拒绝服务）或远程执行恶意代码。
此外，Node.js本次发布的安全更新还修复了rejectUnauthorized参数的不完整验证问题（CVE-2021-22939，低危)；以及一个Use-after-free漏洞（CVE-2021-22940，高危），该漏洞是CVE-2021-22930的修复不完整导致的，攻击者可以利用内存损坏来改变进程行为。
影响范围
Node.js 12.x < 12.22.5 (LTS)
Node.js 14.x < 14.17.5 (LTS)
Node.js 16.x < 16.6.2 (Current)
0x02 处置建议
目前此漏洞已经修复。建议受影响用户及时升级更新到以下版本：
Node.js v12.22.5 (LTS)
Node.js v14.17.5 (LTS)
Node.js v16.6.2 (Current)
下载链接：
https://nodejs.org/en/download/
0x03 参考链接
https://nodejs.org/en/blog/vulnerability/aug-2021-security-releases/
https://nodejs.org/en/blog/release/v12.22.5/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-22931
0x04 更新版本
版本 | 日期 | 修改内容 |
V1.0 | 2021-08-13 | 首次发布 |
0x05 文档附录
CNVD：www.cnvd.org.cn
CNNVD：www.cnnvd.org.cn
CVE：cve.mitre.org
NVD：nvd.nist.gov
CVSS：www.first.org
0x06 关于我们
关注以下公众号，获取更多资讯：
京公网安备11010802024551号