CVE-2023-30589
CVE-2023-30589
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
The llhttp parser in the http module in Node v20.2.0 does not strictly use the CRLF sequence to delimit HTTP requests. This can lead to HTTP Request Smuggling (HRS). The CR character (without LF) is sufficient to delimit HTTP header fields in the llhttp parser. According to RFC7230 section 3, only the CRLF sequence should delimit each header-field. This impacts all Node.js active versions: v16, v18, and, v20
CVSS 7.5 · Высокий · EPSS 3,9% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
node.js
- Версии
- ≥ 4.0, < 4.*: Затронуто (semver)
- ≥ 5.0, < 5.*: Затронуто (semver)
- ≥ 6.0, < 6.*: Затронуто (semver)
- ≥ 7.0, < 7.*: Затронуто (semver)
- ≥ 8.0, < 8.*: Затронуто (semver)
- ≥ 9.0, < 9.*: Затронуто (semver)
- ≥ 10.0, < 10.*: Затронуто (semver)
- ≥ 11.0, < 11.*: Затронуто (semver)
- ≥ 12.0, < 12.*: Затронуто (semver)
- ≥ 13.0, < 13.*: Затронуто (semver)
- ≥ 14.0, < 14.*: Затронуто (semver)
- ≥ 15.0, < 15.*: Затронуто (semver)
- ≥ 16.0, < 16.20.1: Затронуто (semver)
- ≥ 17.0, < 17.*: Затронуто (semver)
- ≥ 18.0, < 18.16.1: Затронуто (semver)
- ≥ 19.0, < 19.*: Затронуто (semver)
- ≥ 20.0, < 20.3.1: Затронуто (semver)
Обновитесь до 16.20.1; Обновитесь до 18.16.1; Обновитесь до 20.3.1
nodejs Debian:12
- Версии
- 18.13.0+dfsg1-1
- 18.13.0+dfsg1-1.1
- 18.19.0+dfsg-1
- 18.19.0+dfsg-2
- 18.19.0+dfsg-3
- 18.19.0+dfsg-4
- 18.19.0+dfsg-5
- Затронутые диапазоны версий
- ECOSYSTEM: < 18.19.0+dfsg-6~deb12u1
Обновитесь до 18.19.0+dfsg-6~deb12u1
nodejs Debian:13
- Затронутые диапазоны версий
- ECOSYSTEM: < 18.13.0+dfsg1-1.1
Обновитесь до 18.13.0+dfsg1-1.1
nodejs Debian:14
- Затронутые диапазоны версий
- ECOSYSTEM: < 18.13.0+dfsg1-1.1
Обновитесь до 18.13.0+dfsg1-1.1
llhttp npm
- Затронутые диапазоны версий
- SEMVER: < 8.1.1
Обновитесь до 8.1.1
Первоисточники
- https://hackerone.com/reports/2001873
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/VEEQIN5242K5NBE2CZ4DYTNA5B4YTYE5/
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/UEJWL67XR67JAGEL2ZK22NA3BRKNMZNY/
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/VKFMKD4MJZIKFQJAAJ4VZ2FHIJ764A76/
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HMEELCREWMRT6NS7HWXLA6XFLLMO36HE/
- https://security.netapp.com/advisory/ntap-20230803-0009/
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/VCVG4TQRGTK4LKAZKVEQAUEJM7DUACYE/
- https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/IV326O2X4BE3SINX5FJHMAKVHUAA4ZYF/
- https://security.netapp.com/advisory/ntap-20240621-0006/
- https://lists.debian.org/debian-lts-announce/2024/09/msg00029.html
- https://nvd.nist.gov/vuln/detail/CVE-2023-30589