登录

欢迎user新华三退出

国家 / 地区

  • 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们
docurl=/cn/Products___Technology/Products/IP_Security/Security_Research/Home/Notice/Notice/202112/1519607_30003_0.htm

Node.js远程代码执行漏洞安全通告(CVE-2021-22930)

【发布时间：2021-12-30】

威胁预警团队

2021/08/03


1. 漏洞综述

1.1 漏洞背景

Node.js是一个基于Chrome V8引擎的JavaScript运行环境，使用了一个事件驱动、非阻塞式I/O模型，让JavaScript 运行在服务端的开发平台，它让JavaScript成为与PHP、Python、Perl、Ruby等服务端语言平起平坐的脚本语言。近日，新华三攻防实验室威胁预警团队监测到Node.js官方发布了一则关于修复Node.js中存在释放后重利用漏洞(CVE-2021-22930)的安全通告，并进行了跟踪和分析。

1.2 漏洞原理

该漏洞与Node.js中对HTTP2流的处理方式有关。在Node.js解析传入的RST_STREAM帧（用于终止连接）时，由于对接收到的RST_STREAM帧的处理中没有错误代码和取消错误代码(nghttp2_cancel)，接收器将试图强制清除收到的任何现有数据，完成后会自动回调运行另外的“关闭”函数，尝试第二次释放内存，从而导致nghttp2关闭已经破坏的流，触发双重释放错误。攻击者可利用该漏洞实现应用程序崩溃或远程代码执行。

2. 影响范围

Node.js 16.x, 14.x, and 12.x所有发行版本

3. 严重等级

高危

4. 处置方法

4.1 官方补丁

目前官方已发布最新版本以修复该漏洞，请受影响的用户及时下载并安装，下载链接：https://nodejs.org/en/blog/vulnerability/july-2021-security-releases-2/

5. 参考链接

https://nodejs.org/en/blog/vulnerability/july-2021-security-releases-2/

新华三官网
联系我们