WORLDTECHNode.js-Projekt schließt 16 Sicherheitslücken in drei Versionslinien
Das Node.js-Projekt hat für drei seiner Versionslinien Sicherheitsupdates veröffentlicht, die 16 Schwachstellen adressieren, wie GBHackers berichtet. Dem Bericht zufolge lassen sich viele der Lücken aus der Ferne durch Clients ausnutzen, die sich nicht angemeldet haben.
Wo die Schwachstellen liegen
GBHackers zufolge konzentrieren sich die Lücken auf die Teile der Software, die HTTP/2-Datenverkehr und TLS verarbeiten, also die Verschlüsselungsschicht, die eine Verbindung zu einer Website schützt.
Da sich viele davon ohne Authentifizierung erreichen lassen, betrachtet der Bericht sie als Problem für jeden Server, auf dem die betroffene Software läuft.
Im Bericht genannte korrigierte Builds
Der Bericht nennt v22.23.5, v24.22.3 und v26.13.1 als korrigierte Builds, jeweils einen für jede der drei Linien.
GBHackers beschreibt die Probleme so, dass sie entfernte Server zum Absturz bringen, Speicherlecks verursachen und die Authentifizierung umgehen können. Das Material, das WORLDTECH vorliegt, enthält keine ausführlichen technischen Beschreibungen einzelner Lücken.
Offene Fragen
- Welche der 16 Lücken sind am gravierendsten, und welche beschränken sich auf Abstürze oder Speicherlecks?
- Ist bekannt, ob eine dieser Schwachstellen bereits in Angriffen ausgenutzt wurde?