CVE-2021-44532CWE-296

CVE-2021-44532

8Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackepss 10%

probabilidade de exploração

10%top 5% das CVEs

exploração observada

nãonenhuma fonte reporta

Em resumo

O Node.js tinha uma falha onde caracteres especiais em nomes de certificados poderiam ser usados para contornar verificações de segurança que limitam quais sites um certificado pode ser usado. Isso poderia permitir que atacantes usassem um certificado de forma não autorizada.

Detalhe técnico

Versões do Node.js anteriores a 12.22.9, 14.18.3, 16.13.2 e 17.3.1 não escapavam adequadamente os Subject Alternative Names (SANs) ao convertê-los para strings na validação de nomes, permitindo ataques de injeção que contornam restrições de nome em cadeias de certificados. A vulnerabilidade afeta a verificação de certificados peer em TLS/SSL e foi corrigida escapando caracteres problemáticos nos SANs.

Resumo gerado e traduzido por IA a partir da descrição oficial.

Node.js < 12.22.9, < 14.18.3, < 16.13.2, and < 17.3.1 converts SANs (Subject Alternative Names) to a string format. It uses this string to check peer certificates against hostnames when validating connections. The string format was subject to an injection vulnerability when name constraints were used within a certificate chain, allowing the bypass of these name constraints.Versions of Node.js with the fix for this escape SANs containing the problematic characters in order to prevent the injection. This behavior can be reverted through the --security-revert command-line option.

Produtos afetados

NodeJS · Node

Referências

https://hackerone.com/reports/1429694 https://nodejs.org/en/blog/vulnerability/jan-2022-security-releases/https://security.netapp.com/advisory/ntap-20220325-0007/https://www.debian.org/security/2022/dsa-5170 https://www.oracle.com/security-alerts/cpuapr2022.html https://www.oracle.com/security-alerts/cpujul2022.html