← volver
CVE-2021-44532CWE-296

CVE-2021-44532

8Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackepss 10%
probabilidad de explotación
10%top 5% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen

Node.js tenía una falla de seguridad donde caracteres especiales en nombres de certificados podrían usarse para eludir controles de seguridad que limitan qué sitios web pueden usar un certificado. Esto podría permitir que atacantes usen un certificado de formas no autorizadas.

Detalle técnico

Versiones de Node.js anteriores a 12.22.9, 14.18.3, 16.13.2 y 17.3.1 no escapaban adecuadamente los Subject Alternative Names (SANs) al convertirlos a cadenas para validación de nombres, permitiendo ataques de inyección que eluden restricciones de nombre en cadenas de certificados. La vulnerabilidad afecta la verificación de certificados peer en TLS/SSL y fue corregida escapando caracteres problemáticos en los SANs.

Resumen generado y traducido por IA a partir de la descripción oficial.
Node.js < 12.22.9, < 14.18.3, < 16.13.2, and < 17.3.1 converts SANs (Subject Alternative Names) to a string format. It uses this string to check peer certificates against hostnames when validating connections. The string format was subject to an injection vulnerability when name constraints were used within a certificate chain, allowing the bypass of these name constraints.Versions of Node.js with the fix for this escape SANs containing the problematic characters in order to prevent the injection. This behavior can be reverted through the --security-revert command-line option.
Productos afectados
NodeJS · Node
Referencias
https://hackerone.com/reports/1429694https://nodejs.org/en/blog/vulnerability/jan-2022-security-releases/https://security.netapp.com/advisory/ntap-20220325-0007/https://www.debian.org/security/2022/dsa-5170https://www.oracle.com/security-alerts/cpuapr2022.htmlhttps://www.oracle.com/security-alerts/cpujul2022.html