CVE-2024-27983highCWE-362

CVE-2024-27983: fallo de gravedad alta en NodeJS Node

Publicada el · Actualizada el

43Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 8.2epss 87%
probabilidad de explotación
87%top 1% de las CVE
explotación observada
noninguna fuente lo reporta
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
1 producto (14 componentes)
Red Hat Enterprise Linux 8
workaround: Red Hat has investigated whether a possible mitigation exists for this issue, and has not been able to identify a practical example. Please update the affected package as soon as possible.
Corregido
10 productos (396 componentes)
Red Hat Enterprise Linux AppStream (v. 9) · Red Hat Enterprise Linux AppStream EUS (v.9.2) · Red Hat Enterprise Linux AppStream (v. 8) · Red Hat Enterprise Linux AppStream EUS (v.8.8) · Red Hat Enterprise Linux AppStream EUS (v.9.0) · y otros 5
corrección ↗
En resumen

Un atacante puede causar que un servidor HTTP/2 de Node.js no esté disponible enviando frames HTTP/2 especiales seguidos del cierre abrupto de la conexión, dejando datos sin procesar en memoria que provocan indisponibilidad.

Detalle técnico

Existe una condición de carrera en la implementación HTTP/2 de Node.js donde el envío de frames CONTINUATION y la terminación abrupta de la conexión TCP disparan la destrucción prematura de Http2Session mientras los headers aún se procesan en memoria de nghttp2, resultando en denegación de servicio sin requerir autenticación.

Resumen generado y traducido por IA a partir de la descripción oficial.
An attacker can make the Node.js HTTP/2 server completely unavailable by sending a small amount of HTTP/2 frames packets with a few HTTP/2 frames inside. It is possible to leave some data in nghttp2 memory after reset when headers with HTTP/2 CONTINUATION frame are sent to the server and then a TCP connection is abruptly closed by the client triggering the Http2Session destructor while header frames are still being processed (and stored in memory) causing a race condition.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H
Productos afectados
NodeJS · Node
CVEs relacionadas — NodeJS Node

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-32214—CVE-2022-32214EPSS 81.8%CVE-2021-22883—CVE-2021-22883EPSS 77.4%CVE-2022-32215—CVE-2022-32215EPSS 70.2%CVE-2019-15605—CVE-2019-15605EPSS 57.1%CVE-2020-8277—CVE-2020-8277EPSS 54.2%CVE-2022-32213—CVE-2022-32213EPSS 46.0%
Referencias
https://hackerone.com/reports/2319584https://lists.debian.org/debian-lts-announce/2024/09/msg00029.htmlhttps://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JDECX4BYZLMM4S4LALN4DPZ2HUTTPLKE/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YDVFUH7ACZPYB3BS4SVILNOY7NQU73VW/https://security.netapp.com/advisory/ntap-20240510-0002/https://www.kb.cert.org/vuls/id/421644http://www.openwall.com/lists/oss-security/2024/04/03/16