搜索

[2480] 2015-11-26_Node.js公布两项关键性安全漏洞

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2015-11-26_Node.js公布两项关键性安全漏洞 N o d e . j s 公 布 两 项 关 键 性 安 全 漏 洞 E 安 全   2 0 1 5 - 1 1 - 2 6 N o d e . j s 基 金 会 日 前 披 露 了 一 项 拒 绝 服 务 漏 洞 与 一 项 越 界 访 问 漏 洞 ， 并 表 示 相 关 修 复 方 案 将 于 下 周 推 出 。 基 金 会 日 前 披 露 了 一 项 拒 绝 服 务 漏 洞 与 一 项 越 界 访 问 漏 洞 ， 并 表 示 相 关 修 复 方 案 将 于 下 周 推 出 。 N o d e . j s 目 前 正 面 临 着 两 项 安 全 漏 洞 ， 其 中 包 括 一 项 潜 在 的 重 大 拒 绝 服 务 问 题 ， 而 相 关 修 复 补 丁 预 计 要 经 过 一 周 时 间 才 能 正 式 推 出 。 N o d e . j s 从 0 . 1 2 到 5 的 各 个 版 本 当 中 都 存 在 着 其 中 一 项 或 者 全 部 两 项 漏 洞 。 相 关 公 告 日 前 由 负 责 管 理 这 套 高 人 气 服 务 器 端 J a v a S c r i p t 平 台 的 N o d e . j s 基 金 会 所 发 出 ， 其 中 包 含 “ 一 个 影 响 巨 大 的 拒 绝 服 务 漏 洞 ” 外 加 一 个 “ 影 响 较 小 的 V 8 越 界 访 问 漏 洞 ” 。 所 谓 V 8 是 由 谷 歌 公 司 开 发 的 一 套 J a v a S c r i p t 引 擎 ， 在 N o d e . j s 项 目 当 中 亦 有 用 到 。 官 方 将 该 拒 绝 服 务 问 题 标 记 为 C V E （ 即 通 用 漏 洞 披 露 ） 2 0 1 5 - 8 0 2 7 ， 而 访 问 漏 洞 则 被 确 定 为 C V E - 2 0 1 5 - 6 7 6 4 。 “ 我 们 发 现 了 这 两 项 此 前 未 经 公 开 的 漏 洞 。 其 中 一 个 影 响 并 不 大 （ 越 界 访 问 问 题 ） ， 但 另 一 个 的 严 重 程 度 则 相 对 较 高 ， ” 该 基 金 会 社 区 经 理 M i k e a l   R o g e r s 解 释 称 。 “ 两 项 漏 洞 都 将 于 下 周 三 （ 即 1 2 月 2 日 ） 得 到 修 复 ” ， 届 时 相 关 修 复 补 丁 将 通 过 N o d e j s . o r g 网 站 进 行 交 付 。 R o g e r s 同 时 强 调 称 ， 这 些 安 全 漏 洞 并 未 遭 到 恶 意 人 士 利 用 。 此 次 公 告 描 述 了 这 一 广 泛 存 在 于 各 N o d e 版 本 当 中 的 拒 绝 服 务 漏 洞 。 “ N o d e . j s 当 中 存 在 一 项 漏 洞 ， 包 括 由 v 0 . 1 2 . x 到 v 5 . x 在 内 的 全 部 版 本 ， 外 部 攻 击 者 能 够 借 此 实 施 拒 绝 服 务 攻 击 。 该 漏 洞 的 严 重 性 为 高 ， 各 受 影 响 版 本 之 用 户 应 当 提 前 做 好 准 备 ， 并 在 修 复 补 丁 发 布 之 后 尽 快 更 新 。 ” 相 比 之 下 ， 越 界 访 问 漏 洞 的 描 述 就 没 那 么 可 怕 。 “ N o d e . j s 当 中 存 在 一 项 漏 洞 ， 包 括 由 v 4 . x 到 v 5 . x 在 内 的 各 个 版 本 ， 攻 击 者 能 够 在 应 用 程 序 允 许 执 行 用 户 所 提 供 的 J a v a S c r i p t 代 码 的 前 提 下 ， 借 此 触 发 越 界 访 问 以 及 / 或 者 拒 绝 服 务 。 此 漏 洞 的 严 重 性 为 中 ， 但 在 符 合 条 件 时 攻 击 者 仍 然 有 可 能 借 此 使 得 用 户 所 提 供 之 J a v a S c r i p t 代 码 在 N o d e . j s 应 用 程 序 当 中 得 到 执 行 。 针 对 v 4 . x 与 v 5 . x 版 本 的 修 复 补 丁 将 与 C V E - 2 0 1 5 - 8 0 2 7 的 补 丁 一 同 发 布 。 ” 可 以 看 到 0 . 1 0 x 到 0 . 1 2 x 的 各 个 版 本 不 会 受 到 此 越 界 访 问 漏 洞 的 影 响 。 尽 管 存 在 着 严 重 的 安 全 问 题 ， 但 N o d e 基 金 会 方 面 表 示 用 户 无 需 为 此 太 过 担 忧 。 该 威 胁 对 社 区 的 影 响 “ 处 于 最 低 水 平 ” ， R o g e r s 解 释 称 。 “ 事 实 上 ， 我 们 已 经 对 二 者 进 行 了 修 复 。 这 是 我 们 安 全 策 略 中 的 一 项 常 规 组 成 部 分 ， 我 们 会 认 真 加 以 对 待 ， 向 用 户 通 知 自 身 产 品 中 的 安 全 漏 洞 并 给 他 们 提 供 充 足 的 时 间 来 筹 备 相 关 升 级 。 ”
R o g e r s 同 时 指 出 ， N o d e . j s 在 安 全 性 方 面 相 当 可 靠 ， 被 划 归 L i n u x 基 金 会 管 理 之 后 更 是 受 到 了 严 格 监 管 。 “ 现 在 我 们 拥 有 更 多 正 式 且 合 理 的 安 全 管 理 策 略 。 ” 欢 迎 大 家 访 问 E 安 全 门 户 站 点 w w w . e a s y a q . c o m 请 关 注   E 安 全 安 全   微 信 公 众 号 点 击 “ 查 看 原 文 查 看 原 文 ” 获 取 本 文 的 相 关 链 接 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理