BDU:2024-08682 (CVE-2023-32004)

Уязвимость конфигурации experimental-permission программной платформы Node.js, позволяющая нарушителю обойти ограничения безопасности и получить несанкционированный доступ к защищаемой информации

Опубликовано: 2024-10-29

Описание

Уязвимость конфигурации experimental-permission программной платформы Node.js связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти ограничения безопасности и получить несанкционированный доступ к защищаемой информации

Затрагиваемое ПО и версии

Debian GNU/Linux (11)Debian GNU/Linux (12)Fedora (37)Fedora (38)Node.js (от 20.0.0 до 20.5.1)

Способ устранения

Использование рекомендаций:
Для Node.js:
https://nodejs.org/en/blog/vulnerability/august-2023-security-releases
https://github.com/nodejs/node/commit/1f64147eb607f82060e08884f993597774c69280

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-32004

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JQPELKG2LVTADSB7ME73AV4DXQK47PWK/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PBOZE2QZIBLFFTYWYN23FGKN6HULZ6HX/

Оценка CVSS

Балл	9 — высокая опасность

Источники и патчи

https://nodejs.org/en/blog/vulnerability/august-2023-security-releases https://hackerone.com/reports/2104564 https://hackerone.com/reports/2038134 https://security-tracker.debian.org/tracker/CVE-2023-32004 https://access.redhat.com/security/cve/CVE-2023-32004 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JQPELKG2LVTADSB7ME73AV4DXQK47PWK/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PBOZE2QZIBLFFTYWYN23FGKN6HULZ6HX/https://security.netapp.com/advisory/ntap-20230915-0009/

Проверьте безопасность своего сайта и почты → Полная проверка домена