CVE-2023-30589
CVE-2023-30589
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
The llhttp parser in the http module in Node v20.2.0 does not strictly use the CRLF sequence to delimit HTTP requests. This can lead to HTTP Request Smuggling (HRS). The CR character (without LF) is sufficient to delimit HTTP header fields in the llhttp parser. According to RFC7230 section 3, only the CRLF sequence should delimit each header-field. This impacts all Node.js active versions: v16, v18, and, v20
CVSS 7.5 · Hoch · EPSS 3,9% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: system · node
Betroffene Produkte und Versionen
node.js
- Softwareversionen
- ≥ 4.0, < 4.*: Betroffen (semver)
- ≥ 5.0, < 5.*: Betroffen (semver)
- ≥ 6.0, < 6.*: Betroffen (semver)
- ≥ 7.0, < 7.*: Betroffen (semver)
- ≥ 8.0, < 8.*: Betroffen (semver)
- ≥ 9.0, < 9.*: Betroffen (semver)
- ≥ 10.0, < 10.*: Betroffen (semver)
- ≥ 11.0, < 11.*: Betroffen (semver)
- ≥ 12.0, < 12.*: Betroffen (semver)
- ≥ 13.0, < 13.*: Betroffen (semver)
- ≥ 14.0, < 14.*: Betroffen (semver)
- ≥ 15.0, < 15.*: Betroffen (semver)
- ≥ 16.0, < 16.20.1: Betroffen (semver)
- ≥ 17.0, < 17.*: Betroffen (semver)
- ≥ 18.0, < 18.16.1: Betroffen (semver)
- ≥ 19.0, < 19.*: Betroffen (semver)
- ≥ 20.0, < 20.3.1: Betroffen (semver)
Auf 16.20.1 aktualisieren; Auf 18.16.1 aktualisieren; Auf 20.3.1 aktualisieren
nodejs Debian:12
- Softwareversionen
- 18.13.0+dfsg1-1
- 18.13.0+dfsg1-1.1
- 18.19.0+dfsg-1
- 18.19.0+dfsg-2
- 18.19.0+dfsg-3
- 18.19.0+dfsg-4
- 18.19.0+dfsg-5
- Betroffene Versionsbereiche
- ECOSYSTEM: < 18.19.0+dfsg-6~deb12u1
Auf 18.19.0+dfsg-6~deb12u1 aktualisieren
nodejs Debian:13
- Betroffene Versionsbereiche
- ECOSYSTEM: < 18.13.0+dfsg1-1.1
Auf 18.13.0+dfsg1-1.1 aktualisieren
nodejs Debian:14
- Betroffene Versionsbereiche
- ECOSYSTEM: < 18.13.0+dfsg1-1.1
Auf 18.13.0+dfsg1-1.1 aktualisieren
llhttp npm
- Betroffene Versionsbereiche
- SEMVER: < 8.1.1
Auf 8.1.1 aktualisieren
Originalquellen
- https://hackerone.com/reports/2001873
- https://lists.fedoraproject.org/archives/list/[email protected]/message/VEEQIN5242K5NBE2CZ4DYTNA5B4YTYE5/
- https://lists.fedoraproject.org/archives/list/[email protected]/message/UEJWL67XR67JAGEL2ZK22NA3BRKNMZNY/
- https://lists.fedoraproject.org/archives/list/[email protected]/message/VKFMKD4MJZIKFQJAAJ4VZ2FHIJ764A76/
- https://lists.fedoraproject.org/archives/list/[email protected]/message/HMEELCREWMRT6NS7HWXLA6XFLLMO36HE/
- https://security.netapp.com/advisory/ntap-20230803-0009/
- https://lists.fedoraproject.org/archives/list/[email protected]/message/VCVG4TQRGTK4LKAZKVEQAUEJM7DUACYE/
- https://lists.fedoraproject.org/archives/list/[email protected]/message/IV326O2X4BE3SINX5FJHMAKVHUAA4ZYF/
- https://security.netapp.com/advisory/ntap-20240621-0006/
- https://lists.debian.org/debian-lts-announce/2024/09/msg00029.html
- https://nvd.nist.gov/vuln/detail/CVE-2023-30589