BDU:2022-00201 (CVE-2021-32804) — уязвимость метода модуля Node.js для обработки tar архивов Node-tar

По данным БДУ ФСТЭК России, по состоянию на 23.07.2026.

Высокий — 8.1/10 Публичный эксплойт Устранена

Уязвимость метода модуля Node.js для обработки tar архивов Node-tar связана с некорректной фильтрацией последовательности символов '/'. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании

Кого касается и что делать

Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7; node-tar (Node.js Foundation) — версии до 3.2.2, от 4.0.0 до 4.4.14, от 5.0.0 до 5.0.6, от 6.0.0 до 6.1.1; и ещё 2 позиции
Что делать: уязвимость устранена производителем — применить исправления: github.com, security-tracker.debian.org, wiki.astralinux.ru
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2022-00201 · CVE-2021-32804
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.1; CVSS 2.0 — 5.8)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H атака по сети, низкая сложность, без прав, требуется участие пользователя, высокое влияние на целостность и доступность
Наименование ФСТЭК	Уязвимость метода модуля Node.js для обработки tar архивов Node-tar, связанная с недостатками ограничения имени пути к каталогу, позволяющая нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании
Даты	Опубликована: 17.01.2022 · Обновлена ФСТЭК: 23.07.2026 · Выявлена: 24.07.2021
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-22 — неверное ограничение имени пути к каталогу с ограниченным доступом («Обход пути»)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование ресурсами

Уязвимое ПО

Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10 · операционная система
Astra Linux Special Edition (ООО «РусБИТех-Астра») — 1.7 · операционная система
node-tar (Node.js Foundation) — версии до 3.2.2, от 4.0.0 до 4.4.14, от 5.0.0 до 5.0.6, от 6.0.0 до 6.1.1 · прикладное ПО информационных систем
ОСОН ОСнова Оnyx (АО «НППКТ») — версии до 2.3, до 2.4.2 · операционная система
Platform V IAM SE (АО «СберТех») — до 2.3.1 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление.

Для Node-tar: использование рекомендаций производителя: github.com/npm/node-tar/security/advisories/GHSA-3jfq-g45…
Для ОС Debian: использование рекомендаций производителя: security-tracker.debian.org/tracker/CVE-2021-32804
Для Astra Linux: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
Для ОСОН Основа: Обновление программного обеспечения node-tar до версии 4.4.6+ds1-3+deb10u1
Для Platform V IAM SE: Обновление до версии Platform V IAM SE 2.3.1

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: