CVE-2022-32215: fallo en NodeJS Node
Publicada el · Actualizada el
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
El parser HTTP de Node.js no procesa correctamente headers Transfer-Encoding que abarcan múltiples líneas, permitiendo que atacantes envíen solicitudes ocultas a través de proxies y firewalls explotando esta mala interpretación.
El parser llhttp en Node.js en versiones anteriores a 14.20.1, 16.17.1 y 18.9.1 interpreta incorrectamente headers Transfer-Encoding multi-línea, posibilitando ataques de HTTP Request Smuggling donde un atacante envía solicitudes que son procesadas de manera diferente por servidores frontend y backend, generando desincronización y potencial acceso no autorizado o envenenamiento de caché.
En el mismo producto, de las más peligrosas a las menos.