CVE-2020-8265
Açıklama
10.23.1, 12.20.1, 14.15.4 ve 15.5.1 öncesindeki Node.js sürümleri, TLS uygulamasındaki bir serbest bırakıldıktan sonra kullanım (use-after-free) hatasına karşı savunmasızdır. TLS etkinleştirilmiş bir sokete yazma işlemi sırasında, node::StreamBase::Write fonksiyonu, ilk argüman olarak yeni tahsis edilmiş bir WriteWrap nesnesi ile node::TLSWrap::DoWrite fonksiyonunu çağırır. Eğer DoWrite yöntemi bir hata döndürmezse, bu nesne bir StreamWriteResult yapısının parçası olarak çağırana geri gönderilir. Bu durum, belleğin bozulmasına yol açarak Hizmet Reddi (DoS) veya potansiyel olarak diğer saldırıların gerçekleştirilmesi için istismar edilebilir.
Nasıl düzeltilir
- nodejs node.js10.23.1, 12.20.1, 14.15.4, 15.5.1 ya da sonraki bir sürüm
- siemens sinec_infrastructure_network_services1.0.1.1 ya da sonraki bir sürüm
- debian.org/security/2021/dsa-4826
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/K4I6MZNC7C7VIDQR267OL4TVCI3ZKAC4/
- security.gentoo.org/glsa/202101-07
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/H472D5HPXN6RRXCNFML3BK5OYC52CXF2/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs node.js | 10.0.0 ≤ v < 10.23.1, 12.0.0 ≤ v < 12.20.1, 14.0.0 ≤ v < 14.15.4, 15.0.0 ≤ v < 15.5.1 | 10.23.1, 12.20.1, 14.15.4, 15.5.1 |
| debian debian_linux | 10.0 | — |
| fedoraproject fedora | 32, 33 | — |
| oracle graalvm | 19.3.4, 20.3.0 | — |
| siemens sinec_infrastructure_network_services | v < 1.0.1.1 | 1.0.1.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.