Vulnerabilidad en el código de interpretacción de cabecera HTTP en Node.js (CVE-2016-2216)
Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-20
Validación incorrecta de entrada
Fecha de publicación:
07/04/2016
Última modificación:
12/04/2025
Descripción
El código de interpretacción de cabecera HTTP en Node.js 0.10.x en versiones anteriores a 0.10.42, 0.11.6 hasta la versión 0.11.16, 0.12.x en versiones anteriores a 0.12.10, 4.x en versiones anteriores a 4.3.0 y 5.x en versiones anteriores a 5.6.0 permite a atacantes remotos eludir un mecanismo de protección de separación de respuesta HTTP a través de caracteres Unicode codificados en UTF-8 en la cabecera HTTP, según lo demonstrado mediante %c4%8d%c4%8a.
Impacto
Puntuación base 3.x
7.50
Gravedad 3.x
ALTA
Puntuación base 2.0
4.30
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:nodejs:node.js:0.10.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.1:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.2:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.3:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.4:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.5:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.6:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.7:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.8:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.9:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.10:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.11:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.12:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.13:*:*:*:*:*:*:* | ||
| cpe:2.3:a:nodejs:node.js:0.10.14:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://blog.safebreach.com/2016/02/09/http-response-splitting-in-node-js-root-cause-analysis/
- http://info.safebreach.com/hubfs/Node-js-Response-Splitting.pdf
- http://lists.fedoraproject.org/pipermail/package-announce/2016-February/177184.html
- http://lists.fedoraproject.org/pipermail/package-announce/2016-February/177673.html
- http://packetstormsecurity.com/files/135711/Node.js-HTTP-Response-Splitting.html
- http://www.securityfocus.com/bid/83141
- https://nodejs.org/en/blog/vulnerability/february-2016-security-releases/
- https://security.gentoo.org/glsa/201612-43
- http://blog.safebreach.com/2016/02/09/http-response-splitting-in-node-js-root-cause-analysis/
- http://info.safebreach.com/hubfs/Node-js-Response-Splitting.pdf
- http://lists.fedoraproject.org/pipermail/package-announce/2016-February/177184.html
- http://lists.fedoraproject.org/pipermail/package-announce/2016-February/177673.html
- http://packetstormsecurity.com/files/135711/Node.js-HTTP-Response-Splitting.html
- http://www.securityfocus.com/bid/83141
- https://nodejs.org/en/blog/vulnerability/february-2016-security-releases/
- https://security.gentoo.org/glsa/201612-43



