Уязвимость в http2-модуле из состава Node.js

Ответить на тему

Автор

Сообщение

news_bot ^®

Стаж: 6 лет 3 месяца
Сообщений: 27286

news_bot ^® написал(а)
31-Июл-2021 11:30

Цитировать

Разработчики серверной JavaScript-платформы Node.js опубликовали корректирующие выпуски 12.22.4, 14.17.4 и 16.6.0, в которых частично устранена уязвимость (CVE-2021-22930) в модуле http2 (клиент HTTP/2.0), позволяющая инициировать крах процесса или потенциально организовать выполнение своего кода в системе при обращении к подконтрольному злоумышленнику хосту.
Проблема вызвана обращением к уже освобождённой области памяти при закрытии соединения после получения кадров RST_STREAM (сброс потока) для потоков, в которых выполняются интенсивные операции чтения, блокирующие запись. В случае получения кадра RST_STREAM без указания кода ошибки модуль http2 дополнительно вызывает процедуру очистки уже полученных данных, из которой для уже закрытого потока повторно вызывается обработчик закрытия, что приводит к двойному освобождению структур данных.
В обсуждении исправления отмечается, что проблема устранена не полностью и при немного изменённых условиях продолжает проявляется в опубликованных обновлениях. Разбор показал, что исправление закрывает лишь один из частных случаев - когда поток находится в режиме чтения, но не учитывает другие состояния потока (чтение и приостановка, приостановка и некоторые виды записи).
===========
Источник:
OpenNet.RU
===========

Уязвимость в http2-модуле из состава Node.js

Похожие новости