Node.js 存在权限提升漏洞 (CVE-2024-21892)

漏洞类型 权限管理不当 发现时间 2024-02-21 漏洞等级 高危
MPS编号 MPS-lvsi-p1yd CVE编号 CVE-2024-21892 漏洞影响广度 广

漏洞危害

OSCS 描述
Node.js 是开源、跨平台的 JavaScript 运行时环境,CAP_NET_BIND_SERVICE 是Linux操作系统中的一种特殊能力(capabilities),它允许非特权进程绑定到系统的特权端口上。
受影响版本中,由于 node::credentials 模块对 CAP_NET_BIND_SERVICE 安全机制处理存在缺陷,导致系统低权限的攻击者可通过修改 CAP_NET_BIND_SERVICE 将 Node 应用绑定至特权端口,并将恶意代码注入到Node应用中,通过修改 NODE_OPTIONS 环境变量,进而以应用当前的用户权限在主机上执行恶意代码。
参考链接:https://www.oscs1024.com/hd/MPS-lvsi-p1yd

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
node.js [20.11.0, 20.11.1) 升级 将组件 node.js 升级至 20.11.1 及以上版本
node.js [18.19.0, 18.19.1) 升级 将组件 node.js 升级至 18.19.1 及以上版本
node.js [21.6.0, 21.6.2) 升级 将组件 node.js 升级至 21.6.2 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-lvsi-p1yd

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-lvsi-p1yd

https://nvd.nist.gov/vuln/detail/CVE-2024-21892

https://hackerone.com/reports/2237545

https://github.com/nodejs/node/commit/10ecf400679e04eddab940721cad3f6c1d603b61

(0)
上一篇 2024年2月22日 下午12:00
下一篇 2024年2月22日 下午2:00

相关推荐

  • BootCDN 投毒风险

    漏洞类型 内嵌恶意代码 发现时间 2023/6/20 漏洞等级 高危 MPS编号 MPS-zw9i-1xkb CVE编号 – 漏洞影响广度 一般 漏洞危害 OSCS 描述 BootCDN是免费的前端开源项目 CDN 加速服务,通过同步cdnjs仓库,提供了常用javascript组件的CDN服务。多个开发者发现在特定请求中(如特定Referer及…

    2023年8月30日
    0
  • follow-redirects<1.15.4 主机名验证不当漏洞 (CVE-2023-26159)

    漏洞类型 输入验证不恰当 发现时间 2024-01-02 漏洞等级 高危 MPS编号 MPS-2023-5153 CVE编号 CVE-2023-26159 漏洞影响广度 极小 漏洞危害 OSCS 描述 follow-redirects 是用于自动处理 HTTP 和 HTTPS 请求重定向的NPM组件包。 follow-redirects 1.15.4之前版本…

    2024年1月3日
    0
  • Apache Airflow <2.8.0 越权漏洞 (CVE-2023-48291)

    漏洞类型 将资源暴露给错误范围 发现时间 2023-12-21 漏洞等级 中危 MPS编号 MPS-fdcz-e81o CVE编号 CVE-2023-48291 漏洞影响广度 广 漏洞危害 OSCS 描述 Airflow 是一个开源的工作流自动化平台,提供用户定义、调度和监视工作流任务的执行功能。 Apache Airflow中存在越权漏洞,由于auth.p…

    2023年12月26日
    0
  • Spring Web UriComponentsBuilder URL解析不当漏洞(CVE-2024-22243绕过) (CVE-2024-22259)

    漏洞类型 SSRF 发现时间 2024-03-14 漏洞等级 高危 MPS编号 MPS-vhl4-ut8e CVE编号 CVE-2024-22259 漏洞影响广度 广 漏洞危害 OSCS 描述 Spring Framework 是一个开源的Java应用程序框架,UriComponentsBuilder是Spring Web中用于构建和操作URI的工具类。 由…

    2024年3月15日
    0
  • mvel2 ParseTools.subCompileExpression方法存在拒绝服务风险 (CVE-2023-51079)

    漏洞类型 拒绝服务 发现时间 2023-12-29 漏洞等级 中危 MPS编号 MPS-nhc1-imz2 CVE编号 CVE-2023-51079 漏洞影响广度 小 漏洞危害 OSCS 描述 mvel2 是用于Java平台的嵌入式表达式语言,用于通过配置文件向用户提供程序逻辑。 mvel2 v2.5.1 Final版本及之前版本中,ParseTools.s…

    2023年12月29日
    0