目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CVE-2018-7159— Joyent Node.js HTTP解析器输入验证错误漏洞

一分钟漏洞结论

影响对象
The Node.js Project Node.js
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。

Joyent Node.js是美国Joyent公司的一套建立在Google V8 JavaScript引擎之上的网络应用平台。该平台主要用于构建高度可伸缩的应用程序，以及编写能够处理数万条且同时连接到一个物理机的连接代码。 Joyent Node.js中的HTTP解析器存在输入验证漏洞，该漏洞源于程序忽略了‘Content-Length’标题中的空格。远程攻击者可利用该漏洞绕过安全限制。

AI 预测 3.7 利用难度: 理论可行 EPSS 3.56% · P89

可能的 ATT&CK 技术 1 AI

T1521

影响版本矩阵 4

厂商产品 版本范围状态
The Node.js Project Node.js 4.x affected
6.x affected
8.x affected
9.x affected
获取后续新漏洞提醒 登录后订阅

一、 漏洞 CVE-2018-7159 基础信息

漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗

尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。

Vulnerability Title
N/A
来源: CVE Program / CVE List V5
Vulnerability Description
The HTTP parser in all current versions of Node.js ignores spaces in the `Content-Length` header, allowing input such as `Content-Length: 1 2` to be interpreted as having a value of `12`. The HTTP specification does not allow for spaces in the `Content-Length` value and the Node.js HTTP parser has been brought into line on this particular difference. The security risk of this flaw to Node.js users is considered to be VERY LOW as it is difficult, and may be impossible, to craft an attack that makes use of this flaw in a way that could not already be achieved by supplying an incorrect value for `Content-Length`. Vulnerabilities may exist in user-code that make incorrect assumptions about the potential accuracy of this value compared to the actual length of the data supplied. Node.js users crafting lower-level HTTP utilities are advised to re-check the length of any input supplied after parsing is complete.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
输入的错误解释
来源: CVE Program / CVE List V5
Vulnerability Title
Joyent Node.js HTTP解析器输入验证错误漏洞
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Description
Joyent Node.js是美国Joyent公司的一套建立在Google V8 JavaScript引擎之上的网络应用平台。该平台主要用于构建高度可伸缩的应用程序，以及编写能够处理数万条且同时连接到一个物理机的连接代码。 Joyent Node.js中的HTTP解析器存在输入验证漏洞，该漏洞源于程序忽略了‘Content-Length’标题中的空格。远程攻击者可利用该漏洞绕过安全限制。
来源: 中国国家信息安全漏洞库 CNNVD
CVSS Information
N/A
来源: 中国国家信息安全漏洞库 CNNVD
Vulnerability Type
N/A
来源: 中国国家信息安全漏洞库 CNNVD

受影响产品

厂商 产品 影响版本 CPE 订阅
The Node.js Project Node.js 4.x -

二、漏洞 CVE-2018-7159 的公开POC

# POC 描述 源链接 神龙链接
AI 生成 POC 高级

未找到公开 POC。

登录以生成 AI POC

三、漏洞 CVE-2018-7159 的情报信息

请登录查看更多情报信息。

CVE-2018-7159 厂商安全公告 (2)

CVE-2018-7159 安全博客文章 (1)

同批安全公告 · The Node.js Project · 2018-05-17 · 共 3 条

CVE-2018-7158 Joyent Node.js path模块输入验证错误漏洞
CVE-2018-7160 Joyent Node.js inspector 安全漏洞

IV. Related Vulnerabilities

Same product: Node.js
Same vendor: The Node.js Project
Same weakness: CWE-115

V. Comments for CVE-2018-7159

暂无评论

发表评论