关于Node.js曝远程代码执行高危漏洞的安全公告
发布日期:2021年-08月-13日

一、情况分析

近日,亚信安全CERT监控到Node.js官方发布更新,修复了组件中存在的远程代码执行漏洞(CVE-2021-22930)。此漏洞为释放后重用漏洞,因其对传入的RST_STREAM帧不正确解析强制清除数据时,nghttp2会关闭相关已被破坏的数据流,从而导致double-free错误。攻击者可利用此漏洞破坏进程,远程执行任意代码,进而控制服务器。

二、影响范围

Node.js 12.x < 12.22.4 (lts)

Node.js 14.x < 14.17.4 (lts)

Node.js 16.x < 16.6.0 (current)

三、处置建议

1.检测当前版本,在node.js的安装目录输入:node -v

2.如果当前版本非最新版本,请更新至官方安全版本:

Node.js v12.22.4 (LTS)

Node.js v14.17.4 (LTS)

Node.js v16.6.0 (Current)


Baidu
sogou