CVSS Meta Temp Score	Aktueller Exploitpreis (≈)	CTI Interest Score
5.1	$0-$5k	0.00

In Node.js bis 0.8.27/0.10.29 (JavaScript Library) wurde eine Schwachstelle entdeckt. Sie wurde als problematisch eingestuft. Das betrifft ein unbekannter Codeblock der Komponente V8 Handler. Durch Manipulation mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. CWE definiert das Problem als CWE-119. Das hat Auswirkungen auf die Verfügbarkeit.

Die Schwachstelle wurde am 31.07.2014 als V8 Memory Corruption and Stack Overflow (fixed in Node v0.8.28 and v0.10.30) in Form eines bestätigten Blog Posts (Website) an die Öffentlichkeit getragen. Das Advisory kann von blog.nodejs.org heruntergeladen werden. Eine eindeutige Identifikation der Schwachstelle wird seit dem 15.08.2014 mit CVE-2014-5256 vorgenommen. Die Umsetzung des Angriffs kann dabei über das Netzwerk erfolgen. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Es sind weder technische Details noch ein Exploit zur Schwachstelle bekannt.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 82395 (Mandriva Linux Security Advisory : nodejs (MDVSA-2015:142)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann. Es wird der Family Mandriva Local Security Checks zugeordnet.

Die Schwachstelle lässt sich durch das Einspielen eines Patches beheben. Das Advisory stellt fest:

To mitigate against deep JSON parsing you can limit the size of the string you parse against, or ban clients who trigger a RangeError for parsing JSON. There is no specific maximum size of a JSON string, though keeping the max to the size of your known message bodies is suggested. If your message bodies cannot be over 20K, there's no reason to accept 1MB bodies. For web frameworks that do automatic JSON parsing, you may need to configure the routes that accept JSON payloads to have a maximum body size.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von Tenable (82395) dokumentiert. Zusätzliche Informationen finden sich unter codereview.chromium.org. Mit dieser Schwachstelle verwandte Einträge finden sich unter 12473.

Produktinfo

Typ

• JavaScript Library

Name

• Node.js

Version

• 0.8.0
• 0.8.1
• 0.8.2
• 0.8.3
• 0.8.4
• 0.8.5
• 0.8.6
• 0.8.7
• 0.8.8
• 0.8.9
• 0.8.10
• 0.8.11
• 0.8.12
• 0.8.13
• 0.8.14
• 0.8.15
• 0.8.16
• 0.8.17
• 0.8.18
• 0.8.19
• 0.8.20
• 0.8.21
• 0.8.22
• 0.8.23
• 0.8.24
• 0.8.25
• 0.8.26
• 0.8.27
• 0.10.0
• 0.10.1
• 0.10.2
• 0.10.3
• 0.10.4
• 0.10.5
• 0.10.6
• 0.10.7
• 0.10.8
• 0.10.9
• 0.10.10
• 0.10.11
• 0.10.12
• 0.10.13
• 0.10.14
• 0.10.15
• 0.10.16
• 0.10.17
• 0.10.18
• 0.10.19
• 0.10.20
• 0.10.21
• 0.10.22
• 0.10.23
• 0.10.24
• 0.10.25
• 0.10.26
• 0.10.27
• 0.10.28
• 0.10.29

Lizenz

• open-source

CPE 2.3info

• 🔍
• 🔍
• 🔍

CPE 2.2info

• 🔍
• 🔍
• 🔍

CVSSv4info

VulDB CVSS-B Score: 🔍
VulDB CVSS-BT Score: 🔍
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.3
VulDB Meta Temp Score: 5.1

VulDB Base Score: 5.3
VulDB Temp Score: 5.1
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv2info

AV	AC	Au	C	I	A
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳
💳	💳	💳	💳	💳	💳

Vektor	Komplexität	Authentisierung	Vertraulichkeit	Integrität	Verfügbarkeit
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten
freischalten	freischalten	freischalten	freischalten	freischalten	freischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

NVD Base Score: 🔍

Exploitinginfo

Klasse: Pufferüberlauf
CWE: CWE-119
CAPEC: 🔍
ATT&CK: 🔍

Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Day	freischalten	freischalten	freischalten	freischalten
Heute	freischalten	freischalten	freischalten	freischalten

Nessus ID: 82395
Nessus Name: Mandriva Linux Security Advisory : nodejs (MDVSA-2015:142)
Nessus Datei: 🔍
Nessus Risiko: 🔍
Nessus Family: 🔍

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Patch
Status: 🔍

0-Day Time: 🔍

Patch: github.com

Timelineinfo

31.07.2014 🔍
31.07.2014 +0 Tage 🔍
31.07.2014 +0 Tage 🔍
15.08.2014 +15 Tage 🔍
05.09.2014 +21 Tage 🔍
05.09.2014 +0 Tage 🔍
08.09.2014 +3 Tage 🔍
16.12.2014 +99 Tage 🔍
15.02.2022 +2618 Tage 🔍

Quelleninfo

Advisory: V8 Memory Corruption and Stack Overflow (fixed in Node v0.8.28 and v0.10.30)
Status: Bestätigt
Bestätigung: 🔍

CVE: CVE-2014-5256 (🔍)
SecurityTracker: 1030811 - Node.js Nested JSON Processing Flaw Lets Remote Users Deny Service
Vulnerability Center: 47625 - Node.js 0.8 - 0.8.27 and 0.10 - 0.10.29 Remote DoS via Deep JSON Objects, Medium
SecurityFocus: 69157 - V8 JavaScript Engine Denial of Service Vulnerability
Secunia: 56216

Diverses: 🔍
Siehe auch: 🔍

Eintraginfo

Erstellt: 08.09.2014 12:16
Aktualisierung: 15.02.2022 09:41
Anpassungen: 08.09.2014 12:16 (68), 15.06.2017 11:30 (4), 15.02.2022 09:39 (4), 15.02.2022 09:41 (1)
Komplett: 🔍

Diskussion

Interested in the pricing of exploits?

See the underground prices here!