CVE-2021-22918CWE-125

CVE-2021-22918: fallo en NodeJS Node

Publicada el · Actualizada el

8Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackepss 23%
probabilidad de explotación
23%top 2% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen

Node.js tiene una vulnerabilidad que lee memoria más allá de los límites al convertir nombres de dominio, pudiendo exponer información sensible o causar bloqueos. El problema ocurre durante el procesamiento de ciertos direcciones de red.

Detalle técnico

Una lectura fuera de los límites (out-of-bounds) existe en uv__idna_toascii() donde la aritmética de punteros no valida si está dentro de los límites del búfer, permitiendo acceso no controlado a la memoria vía uv_getaddrinfo(). Esto puede resultar en divulgación de información o denegación de servicio durante la conversión de nombres de dominio IDNA.

Resumen generado y traducido por IA a partir de la descripción oficial.
Node.js before 16.4.1, 14.17.2, 12.22.2 is vulnerable to an out-of-bounds read when uv__idna_toascii() is used to convert strings to ASCII. The pointer p is read and increased without checking whether it is beyond pe, with the latter holding a pointer to the end of the buffer. This can lead to information disclosures or crashes. This function can be triggered via uv_getaddrinfo().
Productos afectados
NodeJS · Node
CVEs relacionadas — NodeJS Node

En el mismo producto, de las más peligrosas a las menos.

CVE-2024-27983HIGHCVE-2024-27983EPSS 87.2%CVE-2022-32214—CVE-2022-32214EPSS 81.8%CVE-2021-22883—CVE-2021-22883EPSS 77.4%CVE-2022-32215—CVE-2022-32215EPSS 70.2%CVE-2019-15605—CVE-2019-15605EPSS 57.1%CVE-2020-8277—CVE-2020-8277EPSS 54.2%
Referencias
https://cert-portal.siemens.com/productcert/pdf/ssa-389290.pdfhttps://hackerone.com/reports/1209681https://nodejs.org/en/blog/vulnerability/july-2021-security-releases/https://security.gentoo.org/glsa/202401-23https://security.netapp.com/advisory/ntap-20210805-0003/