PT-2022-15028 · Socket.Io+2 · Socket.Io+2

Marcus Wejderot · Publicado 2022-01-12 · Atualizado 2023-06-27 · CVE-2022-21676

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

engine.io, versões 4.0.0 a 6.x.x

Descrição

Uma solicitação HTTP especialmente criada pode acionar uma exceção não capturada no servidor Engine.IO, encerrando assim o processo Node.js. Este problema afeta todos os usuários do pacote engine.io a partir da versão 4.0.0, incluindo aqueles que utilizam pacotes dependentes como o socket.io. Versões anteriores à 4.0.0 não são afetadas.

Recomendações

Para a versão 4.x.x do engine.io, atualize para a versão 4.1.2.

Para a versão 5.x.x do engine.io, atualize para a versão 5.2.1.

Para a versão 6.x.x do engine.io, atualize para a versão 6.1.1.

Para usuários do socket.io, consulte os seguintes caminhos de atualização:

• socket.io@4.3.x, socket.io@4.1.x e socket.io@4.0.x devem ser atualizados para socket.io@4.4.x.
• socket.io@3.0.x deve ser atualizado para socket.io@3.1.x ou socket.io@4.4.x.

Na maioria dos casos, executar npm audit fix deve ser suficiente. Você também pode usar npm update engine.io --depth=9999.

Exploit

Correção

Improper Handling of Exceptional Conditions

Improper Check for Exceptional Conditions

Enumeração de Fraquezas

CWE-755

CWE-754

Identificadores relacionados

CVE-2022-21676

GHSA-273R-MGR4-V34F

Produtos afetados

Node.Js

Engine.Io

Socket.Io

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/21xxx/CVE-2022-21676.json · Exploit
• https://github.com/socketio/engine.io/releases/tag/4.1.2 · Nota
• https://github.com/socketio/engine.io · Nota
• https://github.com/socketio/engine.io/commit/66f889fc1d966bf5bfa0de1939069153643874ab · Correção
• https://github.com/socketio/engine.io/commit/a70800d7e96da32f6e6622804ef659ebc58659db · Correção
• https://github.com/socketio/engine.io/commit/c0e194d44933bd83bf9a4b126fca68ba7bf5098c · Correção
• https://github.com/socketio/engine.io/releases/tag/6.1.1 · Nota
• https://github.com/socketio/engine.io/security/advisories/GHSA-273r-mgr4-v34f · Nota
• https://github.com/socketio/engine.io/releases/tag/5.2.1 · Nota
• https://t.me/cvenotify/53179 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-21676 · Nota de Segurança
• https://t.me/cibsecurity/35354 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-273r-mgr4-v34f · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-21676 · Aviso do Fabricante
• https://t.me/cvenotify/31557 · Publicação no Telegram