CVE-2021-44532

EPSS 10.4%CWE-296

En resumen

Node.js tenía una falla de seguridad donde caracteres especiales en nombres de certificados podrían usarse para eludir controles de seguridad que limitan qué sitios web pueden usar un certificado. Esto podría permitir que atacantes usen un certificado de formas no autorizadas.

Detalle técnico

Versiones de Node.js anteriores a 12.22.9, 14.18.3, 16.13.2 y 17.3.1 no escapaban adecuadamente los Subject Alternative Names (SANs) al convertirlos a cadenas para validación de nombres, permitiendo ataques de inyección que eluden restricciones de nombre en cadenas de certificados. La vulnerabilidad afecta la verificación de certificados peer en TLS/SSL y fue corregida escapando caracteres problemáticos en los SANs.

Resumen generado y traducido por IA a partir de la descripción oficial.

Node.js < 12.22.9, < 14.18.3, < 16.13.2, and < 17.3.1 converts SANs (Subject Alternative Names) to a string format. It uses this string to check peer certificates against hostnames when validating connections. The string format was subject to an injection vulnerability when name constraints were used within a certificate chain, allowing the bypass of these name constraints.Versions of Node.js with the fix for this escape SANs containing the problematic characters in order to prevent the injection. This behavior can be reverted through the --security-revert command-line option.

Productos afectados

NodeJS · Node

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →

Referencias

https://hackerone.com/reports/1429694 https://nodejs.org/en/blog/vulnerability/jan-2022-security-releases/https://security.netapp.com/advisory/ntap-20220325-0007/https://www.debian.org/security/2022/dsa-5170 https://www.oracle.com/security-alerts/cpuapr2022.html https://www.oracle.com/security-alerts/cpujul2022.html