Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la función tls.checkServerIdentity en Node.js (CVE-2016-7099)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-19 Errores en el procesamiento de datos
Fecha de publicación:
10/10/2016
Última modificación:
12/04/2025

Descripción

La función tls.checkServerIdentity en Node.js 0.10.x en versiones anteriores a 0.10.47, 0.12.x en versiones anteriores a 0.12.16, 4.x en versiones anteriores a 4.6.0 y 6.x en versiones anteriores a 6.7.0 no maneja adecuadamente comodines en los campos de nombres de certificados X.509, lo que permite a atacantes man-in-the-middle suplantar servidores a través de un certificado manipulado.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:nodejs:node.js:0.10.0:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.1:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.2:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.3:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.4:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.5:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.6:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.7:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.8:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.9:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.10:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.11:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.12:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.13:*:*:*:*:*:*:*
cpe:2.3:a:nodejs:node.js:0.10.14:*:*:*:*:*:*:*