CVE-2021-22918

描述

Node.js before 16.4.1, 14.17.2, 12.22.2 is vulnerable to an out-of-bounds read when uv__idna_toascii() is used to convert strings to ASCII. The pointer p is read and increased without checking whether it is beyond pe, with the latter holding a pointer to the end of the buffer. This can lead to information disclosures or crashes. This function can be triggered via uv_getaddrinfo().

如何修補 CVE-2021-22918

要修補 CVE-2021-22918,請將受影響套件升級到下列已修補版本。

—升級至 12.22.2-r0 或更新版本
—升級至 12.22.2 或更新版本
—升級至 12.22.2 或更新版本
—升級至 1.40.0-2 或更新版本
—升級至 1.24.1-1+deb10u1 或更新版本

CVE-2021-22918 正在被利用嗎?

中等 — EPSS 為 23.1%,可持續追蹤但非最高優先。

受影響套件(5)

from 0, < 12.22.2-r0
>= 12.0.0, < 12.22.2, >= 14.0.0, < 14.17.2, >= 16.0.0, < 16.4.1
>= 12.0.0, < 12.22.2, >= 14.0.0, < 14.17.2, >= 16.0.0, < 16.4.1
from 0, < 1.40.0-2
from 0, < 1.24.1-1+deb10u1

CVSS 分數

來源	版本	嚴重程度	向量
osv	CVSS 3.1	MEDIUM5.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

描述

如何修補 CVE-2021-22918

CVE-2021-22918 正在被利用嗎?

受影響套件(5)

CVSS 分數

參考連結(8)