BDU:2024-08724 (CVE-2023-32558)

Уязвимость функции process.binding() программной платформы Node.js, позволяющая нарушителю обойти ограничения безопасности и получить несанкционированный доступ к защищаемой информации

Опубликовано: 2024-10-29

Описание

Уязвимость функции process.binding() программной платформы Node.js связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти ограничения безопасности и получить несанкционированный доступ к защищаемой информации

Затрагиваемое ПО и версии

Debian GNU/Linux (11)Debian GNU/Linux (12)Fedora (37)Fedora (38)Node.js (от 20.0.0 до 20.5.1)

Способ устранения

Использование рекомендаций:
Для Node.js:
https://nodejs.org/en/blog/vulnerability/august-2023-security-releases

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-32558

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JQPELKG2LVTADSB7ME73AV4DXQK47PWK/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PBOZE2QZIBLFFTYWYN23FGKN6HULZ6HX/

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://nodejs.org/en/blog/vulnerability/august-2023-security-releases https://access.redhat.com/security/cve/CVE-2023-32558 https://hackerone.com/reports/2051257 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JQPELKG2LVTADSB7ME73AV4DXQK47PWK/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PBOZE2QZIBLFFTYWYN23FGKN6HULZ6HX/https://security-tracker.debian.org/tracker/CVE-2023-32558

Проверьте безопасность своего сайта и почты → Полная проверка домена