企业新(xīn)闻—关于我们—亚信安(ān)全—护航产(chǎn)业互联安(ān)全数字世界

漏洞描述

近日，亚信安(ān)全CERT监控到Node.js官方发布更新(xīn)，修复了组件中(zhōng)存在的遠(yuǎn)程代码执行漏洞（CVE-2021-22930）。此漏洞為(wèi)释放后重用(yòng)漏洞，因其对传入的RST_STREAM帧不正确解析强制清除数据时，nghttp2会关闭相关已被破坏的数据流，从而导致double-free错误。攻击者可(kě)利用(yòng)此漏洞破坏进程，遠(yuǎn)程执行任意代码，进而控制服務(wù)器。

漏洞编号

CVE-2021-22930

漏洞类型

遠(yuǎn)程代码执行

漏洞等级

高危，CVSS：9.1

受影响的版本

Node.js 12.x < 12.22.4 (LTS)

Node.js 14.x < 14.17.4 (LTS)

Node.js 16.x < 16.6.0 (Current)

修复建议

1.检测当前版本，在node.js的安(ān)装(zhuāng)目录输入：node -v

2.如果当前版本非最新(xīn)版本，请更新(xīn)至官方安(ān)全版本：

Node.js v12.22.4 (LTS)

Node.js v14.17.4 (LTS)

Node.js v16.6.0 (Current)

参考链接

https://nodejs.org/en/blog/vulnerability/july-2021-security-releases-2/#use-after-free-on-close-http2-on-stream-canceling-high-cve-2021-22930

https://github.com/nodejs/node/pull/39423

https://github.com/nodejs/node/issues/38964

产(chǎn)品全景图 >

安(ān)全服務(wù) >

安(ān)全运营 >

首页(yè)

产(chǎn)品与服務(wù)

云安(ān)全

终端安(ān)全

数据安(ān)全

身份安(ān)全

高级威胁治理(lǐ)

网络与通信安(ān)全

安(ān)全管理(lǐ)

SaaS服務(wù)

一體(tǐ)化智能(néng)安(ān)全运营平台

网络管理(lǐ)

信息技(jì )术应用(yòng)创新(xīn)

工(gōng)业安(ān)全

解决方案与案例

客户支持

合作(zuò)共赢

安(ān)全通告

C3安(ān)全大会

投资者关系

关于我们

新(xīn)闻与活动

亚信安(ān)全最新(xīn)资讯与活动。