CVE-2024-21896
Açıklama
İzin modeli, kullanıcı tarafından verilen tüm yollar üzerinde path.resolve() çağrısı yaparak kendisini dizin gezginliği (path traversal) saldırılarına karşı korur. Yolun bir Buffer olarak işlenmesi gerekiyorsa, uygulama path.resolve() sonucundan bir Buffer elde etmek için Buffer.from() kullanır. Buffer dahili mekanizmaları, özellikle Buffer.prototype.utf8Write, monkey-patch yöntemiyle değiştirilerek uygulamanın path.resolve() sonucunu manipüle etmesi sağlanabilir ve bu durum bir dizin gezginliği zafiyetine yol açar. Bu zafiyet, Node.js 20 ve Node.js 21 sürümlerinde deneysel izin modelini kullanan tüm kullanıcıları etkilemektedir. Lütfen bu CVE yayınlandığı sırada, izin modelinin Node.js'nin deneysel bir özelliği olduğunu unutmayın.
Nasıl düzeltilir
- nodejs node.js20.11.1, 21.6.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nodejs node.js | 20.0.0 ≤ v < 20.11.1, 21.0.0 ≤ v < 21.6.2 | 20.11.1, 21.6.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.