[TLP:CLEAR] Node.js opravuje vysoce závažnou zranitelnost
Node.js verzemi 18.20.2, 20.12.2 a 21.7.3 opravuje vysoce závažnou zranitelnost [1][2][3].
Kvůli nesprávnému zpracování .bat souborů ve funkcích child_process.spawn nebo child_process.spawnSync je útočníkovi umožněno, pomocí škodlivých argumentů příkazové řádky, injektovat libovolné příkazy a vykonat vzdálené spuštění kódu, a to i bez povolení možnosti shell [4].
Zranitelnost se nachází v produktu:
- Node.js; >=18.0.0, <18.20.2; >=20.0.0, <20.12.2; >=21.0.0, <21.7.3
CVSS: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Více informací:
- CVE-2024-27980 na cve.org, NVD
- CWE-78 na cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 4. 2024.
Odkazy
- [1] https://github.com/nodejs/node/blob/main/doc/changelogs/CHANGELOG_V18.md#18.20.2
- [2] https://github.com/nodejs/node/blob/main/doc/changelogs/CHANGELOG_V20.md#20.12.2
- [3] https://github.com/nodejs/node/blob/main/doc/changelogs/CHANGELOG_V21.md#21.7.3
- [4] https://nodejs.org/en/blog/vulnerability/april-2024-security-releases-2
Za CESNET, z.s.p.o. Michaela Jarošová dne 11. 4. 2024.