PT-2024-27966 · Node.Js · Undici

Bcomnes · Publicado 2024-07-08 · Atualizado 2024-07-09 · CVE-2024-38372

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.0

Baixa

Vetor base

AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Undici anteriores à 6.19.2

Descrição

O Undici é um cliente HTTP/1.1, desenvolvido do zero para o Node.js. Dependendo das condições de rede e do processo de uma solicitação fetch(), response.arrayBuffer() pode incluir uma parte da memória do processo do Node.js.

Recomendações

Para versões anteriores à 6.19.2, atualize para a versão 6.19.2 para resolver o problema. Como solução temporária, considere evitar o uso de response.arrayBuffer() em solicitações fetch() até que a atualização seja aplicada.

Exploit

Correção

Enumeração de Fraquezas

CWE-201

Identificadores relacionados

CVE-2024-38372

GHSA-3G92-W8C5-73PQ

Produtos afetados

Undici

Referências · 18

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/38xxx/CVE-2024-38372.json · Exploit
• https://github.com/nodejs/undici · Nota
• https://github.com/nodejs/undici/pull/3338 · Nota
• https://github.com/nodejs/undici/issues/3328 · Nota
• https://github.com/nodejs/undici/commit/f979ec3204ca489abf30e7d20e9fee9ea7711d36 · Nota
• https://github.com/nodejs/undici/issues/3337 · Nota
• https://github.com/nodejs/undici/security/advisories/GHSA-3g92-w8c5-73pq · Nota
• https://ubuntu.com/security/CVE-2024-38372 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1810411001252286726 · Publicação no Twitter
• https://security.netapp.com/advisory/ntap-20240828-0009 · Nota
• https://t.me/cvedetector/216 · Publicação no Telegram
• https://t.me/cvenotify/85431 · Publicação no Telegram
• https://cve.org/CVERecord?id=CVE-2024-38372 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-38372 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-38372 · Aviso do Fabricante