【漏洞通告】Node.js远程代码执行漏洞CVE-2021-22930

    Node.js是美国Joyent公司的一套建立在Google V8 JavaScript引擎之上的网络应用平台。该平台主要用于构建高度可伸缩的应用程序，以及编写能够处理数万条且同时连接到一个物理机的连接代码。

    近日，深信服安全团队监测到一则Node.js组件存在远程代码执行漏洞的信息，漏洞编号：CVE-2021-22930，漏洞威胁等级：高危。

   该漏洞是由于在Node.js解析传入的RST_STREAM帧时，对接收到的RST_STREAM帧没有进行正确的处理，接收器将试图强制清除收到的任何数据，这会导致nghttp2关闭已经破坏的数据流，从而导致double-free错误。攻击者可利用该漏洞构造恶意数据，造成远程代码执行，最终获取服务器控制权。

   可能受漏洞影响的资产广泛分布于世界各地，主要集中在，美国、中国、德国等国家，国内主要集中在北京、浙江、上海等地。

   目前受影响的Node.js版本：

Node.js 12.x < 12.22.4 (LTS)

Node.js 14.x < 14.17.4 (LTS)

Node.js 16.x < 16.6.0 (Current)

   在Node.js安装路径下输入 ：

   当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：

https://nodejs.org/en/blog/vulnerability/july-2021-security-releases-2/

点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。