BDU:2024-04313 (CVE-2024-22017)

Уязвимость модуля setuid() программной платформы Node.js, позволяющая нарушителю повысить свои привилегии

Опубликовано: 2024-06-03

Описание

Уязвимость модуля setuid() программной платформы Node.js связана с ошибками переключения контекста привилегий. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии

Затрагиваемое ПО и версии

Red Hat Enterprise Linux (8)Debian GNU/Linux (10)Oracle Linux (8)Debian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)Red Hat Enterprise Linux (9)Oracle Linux (9)Node.js (от 20.0 до 20.11.1)Node.js (от 21.0 до 21.6.2)

Способ устранения

Использование рекомендаций:
Для Node.js:
https://nodejs.org/en/blog/vulnerability/february-2024-security-releases/#setuid-does-not-drop-all-privileges-due-to-io_uring-cve-2024-22017---high

Для программных продуктов Oracle Corp:
https://www.oracle.com/security-alerts/linuxbulletinapr2024.html

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2024-22017

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-22017

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	5.7 — высокая опасность

Источники и патчи

https://vuldb.com/ru/?id.254688 https://my.f5.com/manage/s/article/K000139573 https://github.com/actions/runner/issues/3258 https://my.f5.com/manage/s/article/K000139573 https://www.oracle.com/security-alerts/linuxbulletinapr2024.html https://www.openwall.com/lists/oss-security/2024/03/11/1 https://hackerone.com/reports/2170226 https://access.redhat.com/security/cve/cve-2024-22017

Проверьте безопасность своего сайта и почты → Полная проверка домена