PT-2022-3606 · Node.Js+8 · Node.Js+8

Zeyu Zhang

+1

·

Publicado

2022-07-07

·

Atualizado

2026-05-18

·

CVE-2022-32214

CVSS v3.1

9.8

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Node.js anteriores à 14.20.1
Versões do Node.js anteriores à 16.17.1
Versões do Node.js anteriores à 18.9.1
Descrição
O problema está relacionado ao analisador llhttp no módulo http do Node.js, que não utiliza estritamente a sequência CRLF para delimitar solicitações HTTP. Isso pode levar ao HTTP Request Smuggling (HRS), permitindo que um invasor remoto execute um ataque. O caractere LF (sem CR) é suficiente para delimitar campos de cabeçalho HTTP no analisador llhttp, o que contradiz a seção 3 da RFC7230, que estabelece que apenas a sequência CRLF deve delimitar cada campo de cabeçalho.
Recomendações
Para versões anteriores à 14.20.1, atualize para a versão 14.20.1 ou posterior.
Para versões anteriores à 16.17.1, atualize para a versão 16.17.1 ou posterior.
Para versões anteriores à 18.9.1, atualize para a versão 18.9.1 ou posterior.

Exploit

Correção

HTTP Request/Response Smuggling

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

ALSA-2022:6448
ALSA-2022:6595
ALT-PU-2022-2226
ALT-PU-2022-3073
ALT-PU-2022-3235
AZL-10151
AZL-40893
BDU:2022-04390
BIT-NODE-2022-32214
BIT-NODE-MIN-2022-32214
CESA-2022_6448
CESA-2022_6449
CLEANSTART-2026-BD71263
CLEANSTART-2026-IS74202
CLEANSTART-2026-JR35772
CLEANSTART-2026-JY06700
CLEANSTART-2026-KN34553
CLEANSTART-2026-KZ45320
CLEANSTART-2026-LJ44720
CLEANSTART-2026-LN12820
CLEANSTART-2026-TX00223
CLEANSTART-2026-WI75198
CVE-2022-32214
DSA-5326-1
GHSA-Q5VX-44V4-GCH4
MGASA-2022-0294
OESA-2023-1551
OPENSUSE-SU-2022_2425-1
OPENSUSE-SU-2022_2430-1
OPENSUSE-SU-2022_2491-1
OPENSUSE-SU-2022_2551-1
OPENSUSE-SU-2022_2855-1
OPENSUSE-SU-2023_0419-1
RHSA-2022:6389
RHSA-2022:6448
RHSA-2022:6449
RHSA-2022:6595
RHSA-2022:6985
RHSA-2022_6448
RHSA-2022_6449
RHSA-2022_6595
RLSA-2022:6448
RLSA-2022:6449
RLSA-2022:6595
SUSE-SU-2022:2415-1
SUSE-SU-2022:2416-1
SUSE-SU-2022:2417-1
SUSE-SU-2022:2425-1
SUSE-SU-2022:2430-1
SUSE-SU-2022:2491-1
SUSE-SU-2022:2551-1
SUSE-SU-2022:2855-1
SUSE-SU-2023:0408-1
SUSE-SU-2023:0419-1
USN-6491-1

Produtos afetados

Alt Linux
Almalinux
Centos
Linuxmint
Node.Js
Red Hat
Rocky Linux
Suse
Ubuntu