2021-2123: Node.js: Zwei Schwachstellen ermöglichen HTTP-Request-Smuggling-Angriffe

Historie:

Version 1 (2021-10-13 15:51): Neues Advisory
Version 2 (2021-10-18 11:51): Für Fedora 33 und 34 Modular stehen Sicherheitsupdates für 'nodejs:16', 'nodejs:14' und 'nodejs:12' auf die jeweils aktuellen Versionen im Status 'testing' zur Verfügung. Darüber hinaus kann 'nodejs' in Fedora 33 und 34 auf Version 14.18.1 aktualisiert werden. Auch diese Updates befinden sich im Status 'testing'.

Betroffene Software

Entwicklung
Systemsoftware

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Ein Angreifer kann zwei Schwachstellen aus der Ferne ausnutzen, um HTTP-Request-Smuggling-Angriffe durchzuführen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Der Hersteller informiert über die Schwachstellen und veröffentlicht zu ihrer Behebung die Versionen 16.11.1 (Current), 14.18.1 (LTS) und 12.22.7 (LTS) von Node.js als Sicherheitsupdates.

Schwachstellen:

CVE-2021-22959

Schwachstelle in Node.js ermöglicht HTTP-Request-Smuggling-Angriff

CVE-2021-22960