【缝隙公告】Node.js 远程代码执行缝隙（CVE-2021-22930）
颁布功夫 2021-08-020x00 缝隙概述
CVE ID | CVE-2021-22930 | 时 间 | 2021-07-29 |
类 型 | RCE | 等 级 | 高危 |
远程利用 | 是 | 影响领域 | |
攻击复杂度 | 可用性 | ||
用户交互 | 所需权限 | ||
PoC/EXP | 在野利用 |
0x01 缝隙详情
2021年7月29日，Node.js颁布了v16.x、v14.x 和 v12.x刊行版的安全更新，建复了Node.js中的一个Use-After-Free缝隙（CVE-2021-22930），攻击者能够利用此缝隙粉碎过程并导致意表行为，例如使利用法式崩溃（回绝服务）或远程执行代码。
该缝隙与HTTP2 流的处置方式有关。在Node.js解析传入的RST_STREAM�。ㄓ糜谥罩瓜谓樱┦�，由于对接管到的 RST_STREAM 帧的处置中没有谬误代码和取缔谬误代码（nghttp2_cancel），接管器将试图强造断根收到的任何数据，这会导致nghttp2关关已经粉碎的流，从而导致double-free谬误。
影响领域
16.x、14.x和12.x刊行版的所有版本
0x02 措置建议
目前此缝隙已经建复。建议实时更新到以下版本：
Node.js v12.22.4 (LTS)
Node.js v14.17.4 (LTS)
Node.js v16.6.0 (Current)
下载链接：
https://nodejs.org/en/blog/vulnerability/july-2021-security-releases-2/
0x03 参考链接
https://nodejs.org/en/blog/vulnerability/july-2021-security-releases-2/
https://www.bleepingcomputer.com/news/security/nodejs-fixes-severe-http-bug-that-could-let-attackers-crash-apps/
https://github.com/nodejs/node/pull/39527/commits/ba2ac7bb47406815c98366c5a591053414a1daf3#diff-33f026e43570112875cf4c8eab6743496f3aa014329611128e348ec23d6f771cR2165
0x04 更新版本
版本 | 日期 | 批改内容 |
V1.0 | 2021-08-02 | 初次颁布 |
0x05 文档附录
CNVD：www.cnvd.org.cn
CNNVD：www.cnnvd.org.cn
CVE：cve.mitre.org
NVD：nvd.nist.gov
CVSS：www.first.org
0x06 关于GA黄金甲
关注以下公家号，获取更多资讯：
京公网安备11010802024551号