CVE-2022-32215: falha em NodeJS Node
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.
O parser HTTP do Node.js não processa corretamente headers Transfer-Encoding que ocupam múltiplas linhas, permitindo que atacantes enviem requisições ocultas através de proxies e firewalls explorando essa má interpretação.
O parser llhttp no Node.js em versões anteriores a 14.20.1, 16.17.1 e 18.9.1 interpreta incorretamente headers Transfer-Encoding multi-linha, possibilitando ataques de HTTP Request Smuggling onde um invasor envia requisições que são processadas diferentemente por servidores frontend e backend, levando a dessincronização e possível acesso não autorizado ou envenenamento de cache.
No mesmo produto, das mais perigosas para as menos.