19.04.2024

BDU:2024-05684 (CVE-2024-37372) — уязвимость компонента Permission Model программной платформы Node.js

По данным БДУ ФСТЭК России, по состоянию на 24.07.2024.

Средний — 6.5/10 Устранена

Уязвимость компонента Permission Model программной платформы Node.js связана с ошибками при обработке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных

Кого касается и что делать

Уязвимое ПО: Node.js (Node.js Foundation) — версии от 20.0.0 до 20.15.1, от 22.0.0 до 22.4.1
Что делать: уязвимость устранена производителем — применить исправления: nodejs.org, nodejs.org, nodejs.org

Сведения об уязвимости

Идентификаторы	BDU:2024-05684 · CVE-2024-37372
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 6.5; CVSS 2.0 — 6.8)
Вектор CVSS 3.1	AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на целостность
Наименование ФСТЭК	Уязвимость компонента Permission Model программной платформы Node.js, позволяющая нарушителю оказать воздействие на целостность данных
Даты	Опубликована: 24.07.2024 · Обновлена ФСТЭК: 24.07.2024 · Выявлена: 19.04.2024
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-20 — недостаточная проверка вводимых данных
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных