CVE-2021-44531
Açıklama
Belirli bir SAN türünü kullanmak üzere özel olarak tanımlanmış bir PKI olmadıkça, rastgele Subject Alternative Name (SAN) türlerinin kabul edilmesi, isim kısıtlamalı ara sertifikaların (name-constrained intermediates) atlatılmasıyla sonuçlanabilir. Node.js < 12.22.9, < 14.18.3, < 16.13.2 ve < 17.3.1 sürümleri, PKI'ların genellikle kullanmak üzere tanımlamadığı URI SAN türlerini kabul ediyordu. Ayrıca, bir protokol URI SAN'lara izin verdiğinde, Node.js URI eşleşmesini doğru şekilde gerçekleştirmiyordu. Bu sorun için düzeltme içeren Node.js sürümleri, bir sertifika ile ana bilgisayar adı karşılaştırılırken URI SAN türünü devre dışı bırakır. Bu davranış, --security-revert komut satırı seçeneği aracılığıyla geri alınabilir.
Nasıl düzeltilir
- nodejs node.js12.22.9, 14.18.3, 16.13.2, 17.3.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs node.js | v < 12.22.9, 14.0.0 ≤ v < 14.18.3, 16.0.0 ≤ v < 16.13.2, 17.0.0 ≤ v < 17.3.1 | 12.22.9, 14.18.3, 16.13.2, 17.3.1 |
| oracle graalvm | 20.3.5, 21.3.1, 22.0.0.2 | — |
| oracle mysql_connectors | v ≤ 8.0.28 | — |
| oracle mysql_enterprise_monitor | v ≤ 8.0.29 | — |
| oracle mysql_server | v ≤ 5.7.37, 8.0.0 ≤ v ≤ 8.0.28 | — |
| oracle mysql_workbench | v ≤ 8.0.28 | — |
| oracle peoplesoft_enterprise_peopletools | 8.58, 8.59 | — |
| oracle mysql_cluster | v ≤ 8.0.29 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.