p PatchFirst

CVE-2021-32640

CVE-2021-32640 · ReDoS in Sec-Websocket-Protocol header

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

ws is an open source WebSocket client and server library for Node.js. A specially crafted value of the `Sec-Websocket-Protocol` header can be used to significantly slow down a ws server. The vulnerability has been fixed in [email protected] (https://github.com/websockets/ws/commit/00c425ec77993773d823f018f64a5c44e17023ff). In vulnerable versions of ws, the issue can be mitigated by reducing the maximum allowed length of the request headers using the [`--max-http-header-size=size`](https://nodejs.org/api/cli.html#cli_max_http_header_size_size) and/or the [`maxHeaderSize`](https://nodejs.org/api/http.html#http_http_createserver_options_requestlistener) options.

CVSS 5.3 · Media · EPSS 2,8% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · node

Productos y versiones afectados

  • ws

    Versiones
    • >= 5.0.0 <= 7.4.5: Afectada

    Sin corrección publicada

  • node-ws Debian:12

    Intervalos de versiones afectados
    • ECOSYSTEM: < 7.4.2+~cs18.0.8-2

    Actualiza a 7.4.2+~cs18.0.8-2

  • node-ws Debian:13

    Intervalos de versiones afectados
    • ECOSYSTEM: < 7.4.2+~cs18.0.8-2

    Actualiza a 7.4.2+~cs18.0.8-2

  • node-ws Debian:14

    Intervalos de versiones afectados
    • ECOSYSTEM: < 7.4.2+~cs18.0.8-2

    Actualiza a 7.4.2+~cs18.0.8-2

  • ws npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 7.0.0, < 7.4.6

    Actualiza a 7.4.6

  • ws npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 6.0.0, < 6.2.2

    Actualiza a 6.2.2

  • ws npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 5.0.0, < 5.2.3

    Actualiza a 5.2.3

  • node-ws Ubuntu:16.04:LTS

    Versiones
    • 0.7.2+ds1.349b7460-1
    • 1.0.1+ds1.e6ddaae4-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-ws Ubuntu:18.04:LTS

    Versiones
    • 1.1.0+ds1.e6ddaae4-3build1
    • 1.1.0+ds1.e6ddaae4-3ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-ws Ubuntu:20.04:LTS

    Versiones
    • 1.1.0+ds1.e6ddaae4-5
    • 7.2.1-2
    • 7.2.1-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • node-ws Ubuntu:22.04:LTS

    Versiones
    • 7.4.2+~cs18.0.8-2
    • 7.5.5+~cs13.0.13-1
    • 8.5.0+~cs13.3.3-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →