【漏洞通告】Node.js 7月多個安全漏洞
發布時間 2022-07-130x00 漏洞概述
Node.js 是一個基于 Chrome V8 引擎的 JavaScript 運行環境。
2022年7月7日，Node.js發布更新公告，修復了影響Node.js 18.x、16.x 和14.x所有發行版的多個安全漏洞。
0x01 漏洞詳情
本次修復的7個漏洞中，有2個漏洞為高危，5個漏洞為中危，詳情如下：
CVE ID | 名稱 | 嚴重程度 | 描述 |
CVE-2022-32213 | HTTP 請求走私漏洞 | 中危 | http模塊中的llhttp解析器沒有正確解析和驗證Transfer-Encoding頭，可能導致HTTP請求走私（HRS）。 |
CVE-2022-32214 | HTTP 請求走私漏洞 | 中危 | http模塊中的llhttp解析器沒有嚴格使用CRLF序列來限定HTTP請求，可能導致HTTP請求走私 。 |
CVE-2022-32215 | HTTP 請求走私漏洞 | 中危 | http模塊中的llhttp解析器不能正確處理多行Transfer-Encoding頭信息，可能導致HTTP請求走私 。 |
CVE-2022-32212 | DNS重綁定 | 高危 | 由于IsIPAddress沒有正確檢查IP地址是否無效，導致IsAllowedHost檢查很容易被繞過?？梢酝ㄟ^向瀏覽器提供無效的IPv4地址，瀏覽器將向DNS服務器發出DNS請求，為惡意DNS服務器或欺騙DNS響應的MITM攻擊提供載體，以執行重新綁定攻擊并連接到WebSocket調試器，從而實現任意代碼執行。 |
CVE-2022-32223 | Windows DLL劫持漏洞 | 高危 | 如果Windows上有以下依賴：安裝了OpenSSL并且 C:\Program Files\Common Files\SSL\openssl.cnf 存在，node.exe會嘗試通過Windows中的DLL搜索順序來搜索 providers.dll，可以通過將惡意文件 providers.dll 置于各種路徑下并利用此漏洞。 |
CVE-2022-32222 | 啟動時嘗試讀取文件 | 中危 | 當Node.js在基于linux的系統上啟動時，它會試圖讀取/home/iojs/build/ws/out/Release/obj.target/deps/openssl/openssl.cnf，這個文件通常不存在?？梢酝ㄟ^創建此文件并利用此漏洞影響其他用戶（共享系統中）的默認 OpenSSL 配置。 |
CVE-2022-2097 | OpenSSL AES OCB加密漏洞 | 中危 | 在某些情況下，使用 AES-NI 程序集優化實現的 32 位 x86 平臺的 AES OCB 模式不會加密整個數據，在某些情況下可能會暴露16個字節的明文。 |
影響范圍
Node.js v14.x :< v14.20.0 (LTS)
Node.js v16.x :< v16.16.0 (LTS)
Node.js v18.x :< v18.5.0 (Current)
0x02 處置建議
目前Node.js已經修復了這些漏洞，受影響用戶可升級到以下版本：
Node.js v14.20.0 (LTS)
Node.js v16.16.0 (LTS)
Node.js v18.5.0 (Current)
下載鏈接：
https://nodejs.org/en/download/
0x03 參考鏈接
https://nodejs.org/en/blog/vulnerability/july-2022-security-releases/
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32212
0x04 更新版本
版本 | 日期 | 修改內容 |
V1.0 | 2022-07-13 | 首次發布 |
0x05 附錄
公司簡介
啟明星辰成立于1996年，是由留美博士嚴望佳女士創建的、擁有完全自主知識產權的信息安全高科技企業。是國內最具實力的信息安全產品、安全服務解決方案的領航企業之一。
公司總部位于北京市中關村軟件園啟明星辰大廈，公司員工近4000人，研發團隊1200余人, 技術服務團隊1300余人。在全國各省、市、自治區設立分支機構六十多個，擁有覆蓋全國的銷售體系、渠道體系和技術支持體系。公司于2010年6月23日在深圳中小板掛牌上市。（股票代碼：002439）
多年來，啟明星辰致力于提供具有國際競爭力的自主創新的安全產品和最佳實踐服務，幫助客戶全面提升其IT基礎設施的安全性和生產效能，為打造和提升國際化的民族信息安全產業領軍品牌而不懈努力。
關于我們
啟明星辰安全應急響應中心主要針對重要安全漏洞的預警、跟蹤和分享全球最新的威脅情報和安全報告。
關注以下公眾號，獲取全球最新安全資訊：
京公網安備11010802024551號