Уязвимость CVE-2022-35255: Информация

Описание

A weak randomness in WebCrypto keygen vulnerability exists in Node.js 18 due to a change with EntropySource() in SecretKeyGenTraits::DoKeyGen() in src/crypto/crypto_keygen.cc. There are two problems with this: 1) It does not check the return value, it assumes EntropySource() always succeeds, but it can (and sometimes will) fail. 2) The random data returned byEntropySource() may not be cryptographically strong and therefore not suitable as keying material.

Важность: CRITICAL (9,1) Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

URL: https://nvd.nist.gov/vuln/detail/CVE-2022-35255
Опубликовано: 6 декабря 2022 г.
Изменено: 1 марта 2023 г.
Идентификатор типа ошибки: CWE-338

Исправленные пакеты

Имя пакета
Ветка
Исправлено в версии
Версия в репозитории
Errata ID
№ Задания
Состояние
nodesisyphus16.17.1-alt120.13.1-alt1ALT-PU-2022-2701-1307618Исправлено
nodep1016.18.1-alt116.19.1-alt1ALT-PU-2023-1461-1310327Исправлено
nodec10f116.18.1-alt116.19.1-alt1ALT-PU-2023-1461-1310327Исправлено
nodec9f216.17.1-alt0.c9.116.19.1-alt0.c9.1ALT-PU-2022-3073-1303505Исправлено
nodep1116.17.1-alt120.13.1-alt1ALT-PU-2022-2701-1307618Исправлено

Ссылки на рекомендации, решения и инструменты

Ссылка
Ресурс
https://hackerone.com/reports/1690000
  • Exploit
  • Issue Tracking
  • Third Party Advisory
https://cert-portal.siemens.com/productcert/pdf/ssa-332410.pdf
  • Third Party Advisory
https://security.netapp.com/advisory/ntap-20230113-0002/
  • Third Party Advisory
DSA-5326
  • Third Party Advisory

    1. Конфигурация 1

      cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:*
      Start including
      16.0.0
      End including
      16.12.0
      cpe:2.3:a:nodejs:node.js:*:*:*:*:lts:*:*:*
      Start including
      16.13.0
      End excliding
      16.17.1
      cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:*
      Start including
      18.0.0
      End excliding
      18.9.1
      cpe:2.3:a:nodejs:node.js:*:*:*:*:-:*:*:*
      Start including
      15.0.0
      End including
      15.14.0

      Конфигурация 2

      cpe:2.3:a:siemens:sinec_ins:1.0:sp1:*:*:*:*:*:*
      cpe:2.3:a:siemens:sinec_ins:*:*:*:*:*:*:*:*
      End excliding
      1.0
      cpe:2.3:a:siemens:sinec_ins:1.0:-:*:*:*:*:*:*
      cpe:2.3:a:siemens:sinec_ins:1.0:sp2:*:*:*:*:*:*

      Конфигурация 3

      cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*
VKontakte|Telegram|YouTube|Forum|GitHub|Bugzilla
Версия: v24.5.3
Наверх