Vulnerabilidad en Node.js (CVE-2022-32223)
Severidad:
ALTA
Type:
CWE-427
Elemento no controlado en la ruta de búsqueda
Fecha de publicación:
14/07/2022
Última modificación:
28/10/2022
Descripción
Node.js es vulnerable a un Flujo de Ejecución de Secuestro: Secuestro de DLL bajo determinadas condiciones en plataformas Windows. Esta vulnerabilidad puede ser explotada si la víctima presenta las siguientes dependencias en una máquina Windows:* OpenSSL ha sido instalada y "C:\Program Files\Common Files\SSL\openssl.cnf" se presenta. Siempre que sean dadas las condiciones anteriores, "node.exe" buscará "providers.dll" en el directorio actual del usuario. Después, "node.exe" intentará buscar "providers.dll" mediante el orden de búsqueda de DLL en Windows. Es posible que un atacante coloque el archivo malicioso "providers.dll" en una variedad de rutas y explote esta vulnerabilidad
Impacto
Puntuación base 3.x
7.30
Severidad 3.x
ALTA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:* | 14.0.0 (incluyendo) | 14.14.0 (incluyendo) |
| cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:* | 14.14.0 (incluyendo) | 14.20.0 (excluyendo) |
| cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:* | 16.0.0 (incluyendo) | 16.12.0 (incluyendo) |
| cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:* | 16.13.0 (incluyendo) | 16.16.0 (excluyendo) |
| cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:* | 18.0.0 (incluyendo) | 18.0.5 (excluyendo) |
| cpe:2.3:o:microsoft:windows:-:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página