Node.js HTTP/2 CONTINUATION 拒绝服务漏洞 (CVE-2024-27983)

漏洞类型 可达断言 发现时间 2024-04-04 漏洞等级 高危
MPS编号 MPS-i9bf-a843 CVE编号 CVE-2024-27983 漏洞影响广度 一般

漏洞危害

OSCS 描述
Node.js 是开源、跨平台的 JavaScript 运行时环境。CONTINUATION泛洪攻击被发现存在于多个HTTP/2协议实现中。
在受影响版本中,由于Node.js针对HTTP/2协议的实现不当,未正确处理多个CONTINUATION帧的情况,在node::http2::Http2Session::~Http2Session()中存在条件竞争可触发断言。
攻击者可以通过向发送HEADERS帧后连续发送大量CONTINUATION帧,造成服务端内存耗尽拒绝服务。
参考链接:https://www.oscs1024.com/hd/MPS-i9bf-a843

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
node.js [20.0, 20.12.1) 升级 将 node.js 升级至 20.12.1 及以上版本
node.js (-∞, 18.20.1) 升级 将组件 node.js 升级至 18.20.1 及以上版本
node.js [21.0, 21.7.2) 升级 将组件 node.js 升级至 21.7.2 及以上版本
nodejs (-∞, 18.20.1+dfsg-1) 升级 将组件 nodejs 升级至 18.20.1+dfsg-1 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-i9bf-a843

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-i9bf-a843

https://nowotarski.info/http2-continuation-flood-technical-details/

https://nvd.nist.gov/vuln/detail/CVE-2024-27983

(0)
上一篇 2024年4月1日 下午2:00
下一篇 2024年4月9日 下午2:00

相关推荐

  • Node.js child_process.spawn Windows命令注入漏洞 (CVE-2024-27980)

    漏洞类型 参数注入或修改 发现时间 2024-04-11 漏洞等级 严重 MPS编号 MPS-d5b7-omr9 CVE编号 CVE-2024-27980 漏洞影响广度 广 漏洞危害 OSCS 描述 Node.js 是一个基于 Chrome V8 引擎的 JavaScript 运行时环境,用于构建快速、可扩展的网络应用程序。 Windows 的 Create…

    2024年4月12日
    0
  • Atlassian Confluence 权限提升漏洞 (CVE-2023-22515)

    漏洞类型 输入验证不恰当 发现时间 2023-10-04 漏洞等级 严重 MPS编号 MPS-2023-0016 CVE编号 CVE-2023-22515 漏洞影响广度 一般 漏洞危害 OSCS 描述 Confluence 是由Atlassian公司开发的企业协作和文档管理工具。 Confluence Data Center 和 Confluence Ser…

    2023年10月9日
    0
  • Windows Server NPS 远程代码执行漏洞 (MPS-56ge-38z4)

    漏洞类型 代码注入 发现时间 2023-08-21 漏洞等级 高危 MPS编号 MPS-56ge-38z4 CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 Windows Server 中的 Network Policy Server (NPS) 是一种网络访问控制器,用于限制用户和设备对网络资源的访问权限,其 IAS Extensi…

    2023年8月22日
    0
  • Apache Accumulo 身份认证过程缺陷 (CVE-2023-34340)

    漏洞类型 身份验证不当 发现时间 2023/6/21 漏洞等级 中危 MPS编号 MPS-5l0p-exd9 CVE编号 CVE-2023-34340 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache Accumulo是一个排序分布式的 Key-Value 存储应用。在Apache Accumulo 2.1.0版本中,AccumuloClient …

    2023年8月30日
    0
  • Smartbi 未授权设置 Token 回调地址获取管理员权限

    漏洞类型 未授权敏感信息泄露 发现时间 2023/8/10 漏洞等级 严重 MPS编号 MPS-exyg-uhi8 CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 Smartbi 是一款商业智能应用,提供了数据集成、分析、可视化等功能,帮助用户理解和使用他们的数据进行决策。在 Smartbi 受影响版本中存在 Token 回调地址漏洞…

    2023年8月14日
    0