搜索

[1248] 2017-02-12_关于Node.js存在反序列化远程代码执行漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-16
2017-02-12_关于Node.js存在反序列化远程代码执行漏洞的安全公告 关 于 N o d e . j s 存 在 反 序 列 化 远 程 代 码 执 行 漏 洞 的 安 全 公 告 C N V D 漏 洞 平 台   2 0 1 7 - 0 2 - 1 2 安 全 公 告 编 号 安 全 公 告 编 号 : C N T A - 2 0 1 7 - 0 0 1 0 近 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 N o d e . j s 反 序 列 化 远 程 代 码 执 行 漏 洞 （ C N V D - 2 0 1 7 - 0 1 2 0 6 ， 对 应   C V E - 2 0 1 7 - 5 9 4 ） 。 攻 利 用 漏 洞 执 行 远 程 执 行 操 作 系 统 指 令 ， 获 得 服 务 器 权 限 。 由 于 目 前 验 证 代 码 已 经 公 开 ， 极 有 可 能 诱 发 大 规 模 网 站 攻 击 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 N o d e . j s 是 一 个 J a v a s c r i p t 运 行 环 境 ( r u n t i m e ) ， 对 G o o g l e   V 8 引 擎 进 行 了 封 装 。 N o d e . j s 同 时 也 是 一 个 基 于 C h r o m e   J a v a S c r i p t 运 行 时 建 立 的 平 台 ， 用 于 方 便 地 搭 建 快 速 响 应 、 易 于 扩 展 的 网 络 应 用 。 N o d e . j s 反 序 列 化 模 块 n o d e - s e r i a l i z e 库 中 的 u n s e r i a l i z e ( ) 函 数 未 做 安 全 处 理 ， 该 漏 洞 通 过 传 递 调 用 J a v a S c r i p t I I F E 函 数 表 达 式 的 方 式 实 现 远 程 任 意 代 码 执 行 的 效 果 。 攻 击 者 可 通 过 远 程 攻 击 获 得 当 前 服 务 器 运 行 环 境 权 限 ， 由 于 实 际 部 署 中 n o d e . j s 运 行 环 境 较 多 为 操 作 系 统 r o o t 权 限 ， 因 此 可 完 全 控 制 服 务 器 主 机 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 目 前 ， 相 关 利 用 方 式 已 经 在 互 联 网 上 公 开 ， 近 期 出 现 攻 击 尝 试 爆 发 的 可 能 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 根 据 漏 洞 研 究 者 测 试 结 果 ， 由 于 涉 及 I I F E 函 数 表 达 式 ， 漏 洞 影 响 到 N o d e . j s 现 有 的 所 有 版 本 。 根 据 C N V D 秘 书 处 的 普 查 结 果 ， 目 前 互 联 网 上 直 接 标 定 使 用 n o d e . j s 运 行 环 境 的 服 务 器 约 有 6 . 8 万 余 台 ， 其 中 排 名 前 五 名 的 国 家 和 地 区 是 美 国 （ 占 比 5 8 . 9 % ） 、 中 国 （ 2 3 . 2 % ） 、 英 国 （ 4 . 1 % ） 、 荷 兰 （ 3 . 6 % ） 、 德 国 （ 3 . 0 % ） 。 由 于 一 个 应 用 广 泛 的 名 为 E x p r e s s 的 W E B 应 用 开 发 框 架 是 基 于 n o d e . j s 运 行 环 境 的 ， 根 据 C N V D 秘 书 处 初 步 普 查 结 果 ， 受 该 漏 洞 影 响 的 网 站 服 务 器 有 可 能 超 过 7 0 万 台 ， 后 续 C N V D 将 进 一 步 进 行 漏 洞 实 际 威 胁 影 响 的 精 确 评 估 ， 做 好 境 内 用 户 的 应 急 响 应 工 作 。 三 、 漏 洞 修 复 建 议 三 、 漏 洞 修 复 建 议 厂 商 尚 未 提 供 漏 洞 修 补 方 案 ， 请 关 注 主 页 更 新 情 况 ： h t t p s : / / g i t h u b . c o m / l u i n / s e r i a l i z e 。 同 时 也 可 以 通 过 以 下 临 时 解 决 方 案 加 固 服 务 器 主 机 ： 1 .   修 改 / n o d e _ m o d u l e s / n o d e - s e r i a l i z e / l i b / s e r i a l i z e . j s 中 的 F U N C F L A G 值 为 随 机 值 并 保 证 该 值 不 被 泄 漏 。 2 .   确 保 S e r i a l i z e 字 符 串 仅 内 部 发 送 。 3 .   使 用 公 钥 （ R A S ） 加 密 S e r i a l i z e 字 符 串 ， 确 保 字 符 串 不 被 篡 改 。 附 ： 参 考 链 接 ： 附 ： 参 考 链 接 ： h t t p s : / / y o u t u . b e / G F a c P o W O c w 0 ( 已 公 开 的 利 用 过 程 ) h t t p s : / / w w w . e x p l o i t - d b . c o m / d o c s / 4 1 2 8 9 . p d f ( 公 开 的 分 析 信 息 ) h t t p : / / w w w . c n v d . o r g . c n / f l a w / s h o w / C N V D - 2 0 1 7 - 0 1 2 0 6 注 ： C N V D 技 术 组 成 员 单 位 杭 州 安 恒 信 息 技 术 有 限 公 司 及 时 报 告 了 预 警 信 息 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理