PT-2024-2958 · Node.Js+9 · Node.Js+9
Bpingel
·
Publicado
2024-04-03
·
Atualizado
2026-05-18
·
CVE-2024-27982
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do Node.js anteriores à versão corrigida
Descrição
O problema está relacionado ao tratamento inadequado de solicitações HTTP na plataforma Node.js, permitindo que um invasor remoto envie uma solicitação HTTP oculta, conhecida como ataque de contrabando de solicitação HTTP. Isso pode ocorrer quando cabeçalhos malformados são enviados, especificamente se um espaço for colocado antes de um cabeçalho content-length, o que não é interpretado corretamente. Isso permite que invasores introduzam uma segunda solicitação dentro do corpo da primeira.
Recomendações
Para versões do Node.js anteriores à versão corrigida, considere desativar a funcionalidade do servidor HTTP até que um patch esteja disponível.
Restrinja o acesso ao servidor HTTP para minimizar o risco de exploração.
Evite usar cabeçalhos malformados, especificamente aqueles com um espaço antes do cabeçalho content-length, no servidor HTTP afetado até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
RCE
HTTP Request/Response Smuggling
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Astra Linux
Centos
Debian
Node.Js
Red Hat
Red Os
Rocky Linux
Suse