【漏洞预警】Node.js 存在权限提升漏洞CVE-2024-21892

漏洞描述:
Node.js是开源、跨平台的JavaScript运行时环境，CAP_NET_BIND_SERVICE 是Linux操作系统中的一种特殊能力(capabilities)，它允许非特权进程绑定到系统的特权端口上。受影响版本中，由于node::credentials模块对 CAP_NET_BIND_SERVICE 安全机制处理存在缺陷，导致系统低权限的攻击者可通过修CAP_NET_BIND_SERVICE 将 Node 应用绑定至特权端口，并将恶意代码注入到Node应用中，通过修改 NODE_OPTIONS 环境变量，进而以应用当前的用户权限在主机上执行恶意代码。

影响范围:
node.js[20.11.0, 20.11.1)

node.js[18.19.0, 18.19.1)

node.js[21.6.0, 21.6.2)

修复方案:
将组件 node.js 升级至 21.6.2 及以上版本

将组件 node.js 升级至 20.11.1 及以上版本

将组件 node.js 升级至 18.19.1 及以上版本

参考链接:
https://github.com/nodejs/node/commit/10ecf400679e04eddab940721cad3f6c1d603b61

原文始发于微信公众号（飓风网络安全）：【漏洞预警】Node.js 存在权限提升漏洞CVE-2024-21892