BDU:2024-06239

Уязвимость конфигурации server.maxHeadersCount() клиент-серверной библиотеки ws программной платформы Node.js, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2024-08-14

Описание

Уязвимость конфигурации server.maxHeadersCount() клиент-серверной библиотеки ws программной платформы Node.js связана с ошибками разыменования указателей в результате превышения порогового значения заголовков запроса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

РЕД ОС (7.3)ws (от 2.1.0 до 5.2.4)ws (от 6.0.0 до 6.2.3)ws (от 7.0.0 до 7.5.10)ws (от 8.0.0 до 8.17.1)Platform V SberLinux OS Server (9.1)Platform V SberLinux OS Server (9.1.1-fstec)

Способ устранения

Использование рекомендаций:
https://github.com/websockets/ws/commit/22c28763234aa75a7e1b76f5c01c181260d7917f
https://github.com/websockets/ws/commit/4abd8f6de4b0b65ef80b3ff081989479ed93377e
https://github.com/websockets/ws/commit/e55e5106f10fcbaac37cfa89759e4cc0d073a52c
https://github.com/websockets/ws/commit/eeb76d313e2a00dd5247ca3597bba7877d064a63

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://github.com/websockets/ws/commit/22c28763234aa75a7e1b76f5c01c181260d7917f https://github.com/websockets/ws/commit/4abd8f6de4b0b65ef80b3ff081989479ed93377e https://github.com/websockets/ws/commit/e55e5106f10fcbaac37cfa89759e4cc0d073a52c https://github.com/websockets/ws/commit/eeb76d313e2a00dd5247ca3597bba7877d064a63 https://github.com/websockets/ws/issues/2230 https://github.com/websockets/ws/pull/2231 https://github.com/websockets/ws/security/advisories/GHSA-3h5v-q93c-6h6q https://nodejs.org/api/http.html#servermaxheaderscount

Проверьте безопасность своего сайта и почты → Полная проверка домена