Kritische Sicherheitsupdates für Node.js

Das Node.js-Projekt (TNJP) hat am Mittwoch, den 3. April 2024, wichtige Sicherheitsupdates für die Versionen v18.x, v20.x und v21.x von Node.js veröffentlicht. Diese Aktualisierungen adressieren verschiedene Sicherheitsprobleme und beinhalten Updates für Abhängigkeiten, um öffentlich bekannte Schwachstellen zu beheben.

Die Sicherheitsveröffentlichung umfasst Aktualisierungen der folgenden Abhängigkeiten:

  • llhttp Version 9.2.1 auf den Versionen 21.x, 20.x und 18.x
  • undici Version 6.11.1 auf der Version 21.x
  • undici Version 5.28.4 auf den Versionen 18.x und 20.x

folgende kritische Sicherheitsprobleme werden dabei im Update addressiert:

Assertion-Absturz in node::http2::Http2Session::~Http2Session führt zum Absturz des HTTP/2-Servers (CVE-2024-27983) - (Hoch)

Ein Angreifer kann den Node.js HTTP/2-Server unbrauchbar machen, indem er eine kleine Menge von HTTP/2-Frames-Paketen sendet. Eine unerwartete Beendigung der TCP-Verbindung durch den Client während der Bearbeitung von Kopfdatenrahmen kann einen Race Condition-Fehler auslösen. Diese Schwachstelle betrifft alle aktiven Release-Linien: 18.x, 20.x und 21.x.

HTTP-Anforderungs-Schmuggel über Content-Length-Obfuscation (CVE-2024-27982) - (Mittel):

Eine Schwachstelle im HTTP-Server von Node, bei der fehlerhafte Header zu HTTP-Anforderungs-Schmuggel führen können. Wenn ein Leerzeichen vor einem Content-Length-Header platziert wird, wird dies nicht korrekt interpretiert, was Angreifern ermöglicht, eine zweite Anfrage im Körper der ersten zu schmuggeln. Diese Schwachstelle betrifft alle Nutzer in allen aktiven Release-Linien: 18.x, 20.x und 21.x.

Tags :

Related Posts

Octopus Security Advisory warnt vor kritischer Sicherheitslücke in Octopus Deploy

Am 2.4.24 hat Octopus Deploy hat einen Sicherheitshinweis veröffentlicht, der eine hochkritische Sicherheitslücke in der Deploy Automatisierung Octopus Server aufdeckt, die zu einer Rechteausweitung führen kann. Die Schwachstelle, identifiziert mit der CVE-ID CVE-2024-2975, betrifft Nutzer, die bestimmte Versionen des Octopus Servers unter Linux und Microsoft Windows installiert haben.

Read More

Sicherheitslücke im Wordpress LayerSlider Plugin betrifft Millionen Seiten

Am 2.4.24 wurde eine kritische Sicherheitslücke im beliebten LayerSlider Plugin für WordPress bekannt, die unauthentifizierte SQL-Injection-Angriffe ermöglicht und daher besonders gefährlich ist. Betroffen sind die Versionen 7.9.11 bis 7.10.0 des Plugins. Die Schwachstelle, gekennzeichnet mit der CVE-ID CVE-2024-2879, erhielt einen kritischen CVSS-Score von 9,8 / 10. Das Layerslider Plugin ist weit verbreitet und wird in Millionen von Webseiten benutzt.

Read More

April 2024 Security Bulletin von Qualcomm betrifft Milliarden von Geräten

Datum: 1. April 2024 Qualcomm Technologies, Inc. (QTI) hat ein Sicherheitsbulletin für April 2024 veröffentlicht, das auf die Integration von Sicherheitsupdates in gestartete oder kommende Geräte abzielt. Das Bulletin umfasst Beschreibungen von Sicherheitsproblemen, die in QTI-eigenem Code behoben wurden, sowie Verweise auf öffentlich verfügbaren Code, in dem Sicherheitsprobleme angegangen wurden.

Read More