Node.js 存在权限提升漏洞

[y1ong]

• 漏洞编号: CVE-2024-21892
• 危害定级: 高危
• 漏洞标签: 发布预警 公开漏洞
• 披露日期: 2024-02-21
• 信息来源: https://www.oscs1024.com/cm
• 推送原因: 漏洞创建

漏洞描述
Node.js 是开源、跨平台的 JavaScript 运行时环境，CAP_NET_BIND_SERVICE 是Linux操作系统中的一种特殊能力(capabilities)，它允许非特权进程绑定到系统的特权端口上。 受影响版本中，由于 node::credentials 模块对 CAP_NET_BIND_SERVICE 安全机制处理存在缺陷，导致系统低权限的攻击者可通过修改 CAP_NET_BIND_SERVICE 将 Node 应用绑定至特权端口，并将恶意代码注入到Node应用中，通过修改 NODE_OPTIONS 环境变量，进而以应用当前的用户权限在主机上执行恶意代码。

参考链接

1. https://www.oscs1024.com/hd/MPS-lvsi-p1yd
2. https://nvd.nist.gov/vuln/detail/CVE-2024-21892
3. https://hackerone.com/reports/2237545
4. https://github.com/nodejs/node/commit/10ecf400679e04eddab940721cad3f6c1d603b61