Vulnerabilidad en un campo de encabezado en una petición HTTP en Node.js (CVE-2020-8287)
Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
06/01/2021
Última modificación:
07/11/2023
Descripción
Node.js versiones anteriores a 10.23.1, 12.20.1, 14.15.4, 15.5.1 permiten dos copias de un campo de encabezado en una petición HTTP (por ejemplo, dos campos de encabezado Transfer-Encoding). En este caso, Node.js identifica el primer campo de encabezado e ignora el segundo. Esto puede conllevar a un Tráfico no Autorizado de Peticiones HTTP
Impacto
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA
Puntuación base 2.0
6.40
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:* | 10.0.0 (incluyendo) | 10.23.1 (excluyendo) |
| cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:* | 12.0.0 (incluyendo) | 12.20.1 (excluyendo) |
| cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:* | 14.0.0 (incluyendo) | 14.15.4 (excluyendo) |
| cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:* | 15.0.0 (incluyendo) | 15.5.1 (excluyendo) |
| cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:* | ||
| cpe:2.3:o:fedoraproject:fedora:32:*:*:*:*:*:*:* | ||
| cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:* | ||
| cpe:2.3:a:oracle:graalvm:19.3.4:*:*:*:enterprise:*:*:* | ||
| cpe:2.3:a:oracle:graalvm:20.3.0:*:*:*:enterprise:*:*:* | ||
| cpe:2.3:a:siemens:sinec_infrastructure_network_services:*:*:*:*:*:*:*:* | 1.0.1.1 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://cert-portal.siemens.com/productcert/pdf/ssa-389290.pdf
- https://hackerone.com/reports/1002188
- https://lists.debian.org/debian-lts-announce/2022/12/msg00009.html
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/H472D5HPXN6RRXCNFML3BK5OYC52CXF2/
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/K4I6MZNC7C7VIDQR267OL4TVCI3ZKAC4/
- https://nodejs.org/en/blog/vulnerability/january-2021-security-releases/
- https://security.gentoo.org/glsa/202101-07
- https://security.netapp.com/advisory/ntap-20210212-0003/
- https://www.debian.org/security/2021/dsa-4826
- https://www.oracle.com/security-alerts/cpujan2021.html



