p PatchFirst

CVE-2022-35256

CVE-2022-35256

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

The llhttp parser in the http module in Node v18.7.0 does not correctly handle header fields that are not terminated with CLRF. This may result in HTTP Request Smuggling.

CVSS 6.5 · Средний · EPSS 2,8% · Есть исправление

Опубликовано
Обновлено

Стек: system · node

Затронутые продукты и версии

  • node.js

    Версии
    • ≥ 4.0, < 4.*: Затронуто (semver)
    • ≥ 5.0, < 5.*: Затронуто (semver)
    • ≥ 6.0, < 6.*: Затронуто (semver)
    • ≥ 7.0, < 7.*: Затронуто (semver)
    • ≥ 8.0, < 8.*: Затронуто (semver)
    • ≥ 9.0, < 9.*: Затронуто (semver)
    • ≥ 10.0, < 10.*: Затронуто (semver)
    • ≥ 11.0, < 11.*: Затронуто (semver)
    • ≥ 12.0, < 12.*: Затронуто (semver)
    • ≥ 13.0, < 13.*: Затронуто (semver)
    • ≥ 14.0, < 14.20.1: Затронуто (semver)
    • ≥ 15.0, < 15.*: Затронуто (semver)
    • ≥ 16.0, < 16.17.1: Затронуто (semver)
    • ≥ 17.0, < 17.*: Затронуто (semver)
    • ≥ 18.0, < 18.9.1: Затронуто (semver)

    Обновитесь до 14.20.1; Обновитесь до 16.17.1; Обновитесь до 18.9.1

  • nodejs Debian:12

    Затронутые диапазоны версий
    • ECOSYSTEM: < 18.10.0+dfsg-1

    Обновитесь до 18.10.0+dfsg-1

  • nodejs Debian:13

    Затронутые диапазоны версий
    • ECOSYSTEM: < 18.10.0+dfsg-1

    Обновитесь до 18.10.0+dfsg-1

  • nodejs Debian:14

    Затронутые диапазоны версий
    • ECOSYSTEM: < 18.10.0+dfsg-1

    Обновитесь до 18.10.0+dfsg-1

  • nodejs Ubuntu:22.04:LTS

    Версии
    • 12.22.5~dfsg-5ubuntu1
    • 12.22.7~dfsg-2ubuntu1
    • 12.22.7~dfsg-2ubuntu3
    • 12.22.9~dfsg-1ubuntu2
    • 12.22.9~dfsg-1ubuntu3
    • 12.22.9~dfsg-1ubuntu3.1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 12.22.9~dfsg-1ubuntu3.2

    Обновитесь до 12.22.9~dfsg-1ubuntu3.2

Первоисточники

Проверьте свой сервер →