CVE-2024-27983

Yüksek

Açıklama

Bir saldırgan, içinde birkaç HTTP/2 çerçevesi bulunan küçük miktarda HTTP/2 çerçeve paketleri göndererek Node.js HTTP/2 sunucusunu tamamen kullanılamaz hale getirebilir. Sunucuya HTTP/2 CONTINUATION çerçeveli başlıklar gönderildiğinde ve ardından istemci tarafından bir TCP bağlantısı aniden kapatıldığında, başlık çerçeveleri hala işlenirken (ve bellekte saklanırken) Http2Session yıkıcısını tetikleyen bir yarış durumu oluşur; bu durum, sıfırlamadan sonra nghttp2 belleğinde bazı verilerin kalmasına neden olur.

ÖnemYüksek

CVSS8.2

İstismar olasılığı—

ÜrünNode

Yayın9 Nis 2024

İlk görülme9 Nis 2024

Zayıflık türüCWE-362Yarış durumu

Nasıl düzeltilir

Güncelleyin

NodeJS Node4.*, 5.*, 6.*, 7.*, 8.*, 9.*, 10.*, 11.*, 12.*, 13.*, 14.*, 15.*, 16.*, 17.*, 18.20.1, 19.*, 20.12.1, 21.7.2 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
NodeJS Node	4.0 ≤ v < 4., 5.0 ≤ v < 5., 6.0 ≤ v < 6., 7.0 ≤ v < 7., 8.0 ≤ v < 8., 9.0 ≤ v < 9., 10.0 ≤ v < 10., 11.0 ≤ v < 11., 12.0 ≤ v < 12., 13.0 ≤ v < 13., 14.0 ≤ v < 14., 15.0 ≤ v < 15., 16.0 ≤ v < 16., 17.0 ≤ v < 17., 18.0 ≤ v < 18.20.1, 19.0 ≤ v < 19.*, 20.0 ≤ v < 20.12.1, 21.0 ≤ v < 21.7.2	4., 5., 6., 7., 8., 9., 10., 11., 12., 13., 14., 15., 16., 17., 18.20.1, 19.*, 20.12.1, 21.7.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.