BDU:2024-06867 (CVE-2024-22020)

Уязвимость программной платформы Node.js, связанная с неправильным контролем доступа, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2024-09-12

Описание

Уязвимость программной платформы Node.js связана с неправильным контролем доступа. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код

Затрагиваемое ПО и версии

Red Hat Enterprise Linux (8)Debian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)Red Hat Enterprise Linux (9)Astra Linux Special Edition (1.8)ОСОН ОСнова Оnyx (до 3.1)Node.js (от 18.0 до 18.20.4)Node.js (от 20.0 до 20.15.1)Node.js (от 21 до 22.4.1)

Способ устранения

Для Node.js:
https://nodejs.org/en/blog/vulnerability/july-2024-security-releases#bypass-network-import-restriction-via-data-url-cve-2024-22020---medium

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-22020

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2024-22020

Для ОС Astra Linux:
обновить пакет nodejs до 18.19.0+dfsg-6~deb12u1+ci4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-1113SE18

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения nodejs до версии 18.20.4+dfsg-1~deb12u1.osnova3u1

Оценка CVSS

Балл	5.9 — средняя опасность

Источники и патчи

https://nodejs.org/en/blog/vulnerability/july-2024-security-releases#bypass-network-import-restriction-via-data-url-cve-2024-22020---medium https://redos.red-soft.ru/support/secure/https://security-tracker.debian.org/tracker/CVE-2024-22020 https://access.redhat.com/security/cve/CVE-2024-22020 https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-1113SE18 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/3.1/

Проверьте безопасность своего сайта и почты → Полная проверка домена