Node.js 存在权限提升漏洞 (CVE-2024-21892)

漏洞类型 权限管理不当 发现时间 2024-02-21 漏洞等级 高危
MPS编号 MPS-lvsi-p1yd CVE编号 CVE-2024-21892 漏洞影响广度 广

漏洞危害

OSCS 描述
Node.js 是开源、跨平台的 JavaScript 运行时环境,CAP_NET_BIND_SERVICE 是Linux操作系统中的一种特殊能力(capabilities),它允许非特权进程绑定到系统的特权端口上。
受影响版本中,由于 node::credentials 模块对 CAP_NET_BIND_SERVICE 安全机制处理存在缺陷,导致系统低权限的攻击者可通过修改 CAP_NET_BIND_SERVICE 将 Node 应用绑定至特权端口,并将恶意代码注入到Node应用中,通过修改 NODE_OPTIONS 环境变量,进而以应用当前的用户权限在主机上执行恶意代码。
参考链接:https://www.oscs1024.com/hd/MPS-lvsi-p1yd

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
node.js [20.11.0, 20.11.1) 升级 将组件 node.js 升级至 20.11.1 及以上版本
node.js [18.19.0, 18.19.1) 升级 将组件 node.js 升级至 18.19.1 及以上版本
node.js [21.6.0, 21.6.2) 升级 将组件 node.js 升级至 21.6.2 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-lvsi-p1yd

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-lvsi-p1yd

https://nvd.nist.gov/vuln/detail/CVE-2024-21892

https://hackerone.com/reports/2237545

https://github.com/nodejs/node/commit/10ecf400679e04eddab940721cad3f6c1d603b61

(0)
上一篇 2024年2月22日 下午12:00
下一篇 2024年2月22日 下午2:00

相关推荐

  • Sonatype Nexus Repository 3<3.68.1 任意文件下载漏洞 (CVE-2024-4956)

    漏洞类型 路径遍历 发现时间 2024-05-17 漏洞等级 高危 MPS编号 MPS-acvt-3krg CVE编号 CVE-2024-4956 漏洞影响广度 漏洞危害 OSCS 描述 Sonatype Nexus Repository 3 是开源的制品库,用于存储和管理软件构建制品。 受影响版本中存在路径遍历漏洞,未经身份验证的攻击者可通过构造恶意的 U…

    漏洞 2024年5月18日
    0
  • Zabbix zbxjson模块缓冲区溢出漏洞 (CVE-2023-32722)

    漏洞类型 经典缓冲区溢出 发现时间 2023-10-12 漏洞等级 严重 MPS编号 MPS-mvg7-3jsp CVE编号 CVE-2023-32722 漏洞影响广度 一般 漏洞危害 OSCS 描述 Zabbix 是开源的网络监控和管理工具,zbxjson用于通过 JSON-RPC 方式与 Zabbix 服务器进行通信,监控项功能用来从主机收集数据(如处理…

    2023年10月14日
    0
  • XZ-Utils 5.6.0-5.6.1版本存在后门风险 (CVE-2024-3094)

    漏洞类型 隐藏功能 发现时间 2024-03-30 漏洞等级 严重 MPS编号 MPS-03mz-nh7f CVE编号 CVE-2024-3094 漏洞影响广度 小 漏洞危害 OSCS 描述 XZ-Utils是Linux、Unix等POSIX兼容系统中广泛用于处理.xz文件的套件,包含liblzma、xz等组件,已集成在Debian、Ubuntu、CentO…

    2024年3月30日
    0
  • Apache Dubbo 3.1.5 反序列化漏洞 (CVE-2023-46279)

    漏洞类型 反序列化 发现时间 2023-12-15 漏洞等级 严重 MPS编号 MPS-k3ml-xyci CVE编号 CVE-2023-46279 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Dubbo 是一款易用、高性能的 WEB 和 RPC 框架。 在3.1.5版本中,由于新增的SerializeSecurityManager类存在缺陷,…

    2023年12月18日
    0
  • Apache DolphinScheduler 敏感信息泄漏 (CVE-2023-48796)

    漏洞类型 未授权敏感信息泄露 发现时间 2023-11-24 漏洞等级 高危 MPS编号 MPS-p9et-w8rl CVE编号 CVE-2023-48796 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache DolphinScheduler 是一个分布式、易扩展、可视化的工作流任务调度平台。 受影响版本中,由于没有限制暴露的端点,导致所有端点全部…

    2023年11月26日
    0