p PatchFirst

CVE-2021-32640

CVE-2021-32640 · ReDoS in Sec-Websocket-Protocol header

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

ws is an open source WebSocket client and server library for Node.js. A specially crafted value of the `Sec-Websocket-Protocol` header can be used to significantly slow down a ws server. The vulnerability has been fixed in [email protected] (https://github.com/websockets/ws/commit/00c425ec77993773d823f018f64a5c44e17023ff). In vulnerable versions of ws, the issue can be mitigated by reducing the maximum allowed length of the request headers using the [`--max-http-header-size=size`](https://nodejs.org/api/cli.html#cli_max_http_header_size_size) and/or the [`maxHeaderSize`](https://nodejs.org/api/http.html#http_http_createserver_options_requestlistener) options.

CVSS 5.3 · Moyenne · EPSS 2,8% · Correctif disponible

Publication
Mise à jour

Pile logicielle: system · node

Produits et versions concernés

  • ws

    Versions du logiciel
    • >= 5.0.0 <= 7.4.5: Concernée

    Aucun correctif publié

  • node-ws Debian:12

    Plages de versions concernées
    • ECOSYSTEM: < 7.4.2+~cs18.0.8-2

    Mettez à jour vers 7.4.2+~cs18.0.8-2

  • node-ws Debian:13

    Plages de versions concernées
    • ECOSYSTEM: < 7.4.2+~cs18.0.8-2

    Mettez à jour vers 7.4.2+~cs18.0.8-2

  • node-ws Debian:14

    Plages de versions concernées
    • ECOSYSTEM: < 7.4.2+~cs18.0.8-2

    Mettez à jour vers 7.4.2+~cs18.0.8-2

  • ws npm

    Plages de versions concernées
    • SEMVER: ≥ 7.0.0, < 7.4.6

    Mettez à jour vers 7.4.6

  • ws npm

    Plages de versions concernées
    • SEMVER: ≥ 6.0.0, < 6.2.2

    Mettez à jour vers 6.2.2

  • ws npm

    Plages de versions concernées
    • SEMVER: ≥ 5.0.0, < 5.2.3

    Mettez à jour vers 5.2.3

  • node-ws Ubuntu:16.04:LTS

    Versions du logiciel
    • 0.7.2+ds1.349b7460-1
    • 1.0.1+ds1.e6ddaae4-1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ws Ubuntu:18.04:LTS

    Versions du logiciel
    • 1.1.0+ds1.e6ddaae4-3build1
    • 1.1.0+ds1.e6ddaae4-3ubuntu1
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ws Ubuntu:20.04:LTS

    Versions du logiciel
    • 1.1.0+ds1.e6ddaae4-5
    • 7.2.1-2
    • 7.2.1-3
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

  • node-ws Ubuntu:22.04:LTS

    Versions du logiciel
    • 7.4.2+~cs18.0.8-2
    • 7.5.5+~cs13.0.13-1
    • 8.5.0+~cs13.3.3-2
    Plages de versions concernées
    • ECOSYSTEM: (−∞, +∞)

    Aucun correctif publié

Sources originales

Vérifiez votre serveur →