Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la implementación de realpath en libuv usada dentro de Node.js (CVE-2020-8252)

Gravedad CVSS v3.1:
ALTA
Tipo:
CWE-120 Copia de búfer sin comprobación del tamaño de entrada (Desbordamiento de búfer clásico)
Fecha de publicación:
18/09/2020
Última modificación:
07/11/2023

Descripción

La implementación de realpath en libuv versiones anteriores a versiones anteriores a 10.22.1, versiones anteriores a 12.18.4 y versiones anteriores a 14.9.0, usada dentro de Node.js determinó incorrectamente el tamaño del búfer, lo que puede resultar en un desbordamiento del búfer si la ruta resuelta tiene más de 256 bytes

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:* 10.0.0 (incluyendo) 10.22.1 (excluyendo)
cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:* 12.0.0 (incluyendo) 12.18.4 (excluyendo)
cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:* 14.0.0 (incluyendo) 14.9.0 (excluyendo)
cpe:2.3:o:opensuse:leap:15.2:*:*:*:*:*:*:*
cpe:2.3:o:fedoraproject:fedora:33:*:*:*:*:*:*:*