PT-2022-5492 · Node.Js+9 · Node.Js+9
Haxatron1
·
Publicado
2022-11-04
·
Atualizado
2026-05-18
·
CVE-2022-43548
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Node.js anteriores à 14.21.1
Versões do Node.js anteriores à 16.18.1
Versões do Node.js anteriores à 18.12.1
Versões do Node.js anteriores à 19.0.1
Descrição
Existe uma vulnerabilidade de injeção de comando do sistema operacional no Node.js devido a uma verificação insuficiente do IsAllowedHost que pode ser facilmente contornada, permitindo ataques de rebinding. O problema está relacionado ao parâmetro
--inspect e a erros na conversão de endereços IP octais. Isso pode permitir que um invasor remoto execute código arbitrário. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível.Recomendações
Para versões anteriores à 14.21.1, atualize para a versão 14.21.1 ou posterior.
Para versões anteriores à 16.18.1, atualize para a versão 16.18.1 ou posterior.
Para versões anteriores à 18.12.1, atualize para a versão 18.12.1 ou posterior.
Para versões anteriores à 19.0.1, atualize para a versão 19.0.1 ou posterior.
Como solução alternativa temporária, considere desativar o parâmetro
--inspect até que um patch esteja disponível. Restrinja o acesso ao recurso --inspect para minimizar o risco de exploração. Evite usar endereços IP octais inválidos no parâmetro --inspect até que o problema seja resolvido.Correção
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Linuxmint
Node.Js
Red Hat
Rocky Linux
Suse
Ubuntu