CVE-2024-27983highCWE-362

CVE-2024-27983: falha de alta gravidade em NodeJS Node

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar Node.js+ Monitorar nodejs

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

43Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.2epss 87%
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Afetado
1 produto (14 componentes)
Red Hat Enterprise Linux 8
workaround: Red Hat has investigated whether a possible mitigation exists for this issue, and has not been able to identify a practical example. Please update the affected package as soon as possible.
Corrigido
10 produtos (396 componentes)
Red Hat Enterprise Linux AppStream (v. 9) · Red Hat Enterprise Linux AppStream EUS (v.9.2) · Red Hat Enterprise Linux AppStream (v. 8) · Red Hat Enterprise Linux AppStream EUS (v.8.8) · Red Hat Enterprise Linux AppStream EUS (v.9.0) · e outros 5
correção ↗
Em resumo

Um atacante pode derrubar um servidor HTTP/2 do Node.js enviando frames HTTP/2 especiais seguidos de fechamento abrupto da conexão, deixando dados não processados na memória que causam indisponibilidade do servidor.

Detalhe técnico

Existe uma condição de corrida na implementação HTTP/2 do Node.js onde o envio de frames CONTINUATION e encerramento abrupto da conexão TCP dispara destruição prematura da Http2Session enquanto headers ainda estão sendo processados na memória do nghttp2, resultando em negação de serviço sem necessidade de autenticação.

Resumo gerado e traduzido por IA a partir da descrição oficial.
An attacker can make the Node.js HTTP/2 server completely unavailable by sending a small amount of HTTP/2 frames packets with a few HTTP/2 frames inside. It is possible to leave some data in nghttp2 memory after reset when headers with HTTP/2 CONTINUATION frame are sent to the server and then a TCP connection is abruptly closed by the client triggering the Http2Session destructor while header frames are still being processed (and stored in memory) causing a race condition.
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H
Produtos afetados
NodeJS · Node
CVEs relacionadas — NodeJS Node

No mesmo produto, das mais perigosas para as menos.

CVE-2022-32214—CVE-2022-32214EPSS 81.8%CVE-2021-22883—CVE-2021-22883EPSS 77.4%CVE-2022-32215—CVE-2022-32215EPSS 70.2%CVE-2019-15605—CVE-2019-15605EPSS 57.1%CVE-2020-8277—CVE-2020-8277EPSS 54.2%CVE-2022-32213—CVE-2022-32213EPSS 44.8%