PT-2025-4815
CVE-2025-23085
·
تاريخ النشر
2025-01-21
·
تاريخ التحديث
2026-09-28
الوصف من
CVSS 3.1
5.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات Node.js من 18.x حتى 23.x
الوصف
قد يحدث تسرب في الذاكرة عندما يقوم نظير بعيد بإغلاق المأخذ (socket) بشكل مفاجئ دون إرسال إشعار GOAWAY. بالإضافة إلى ذلك، إذا اكتشف nghttp2 رأسًا غير صالح، مما يؤدي إلى إنهاء الاتصال من قبل النظير، فإن نفس التسرب يحدث. قد يؤدي هذا الخلل إلى زيادة استهلاك الذاكرة وإمكانية حدوث رفض الخدمة في ظل ظروف معينة.
التوصيات
بالنسبة للإصدارات 18.x و20.x و22.x و23.x من Node.js، يُنصح بتطبيق إجراء تحويلي للتعامل مع الإغلاق المفاجئ للمآخذ (sockets) والرؤوس غير الصالحة من أجل منع تسرب الذاكرة.
كإجراء تجاوبي مؤقت، يُنصح بتعطيل استخدام HTTP/2 حتى يتوفر تصحيح.
قم بتقييد الوصول إلى الوحدة النمطية nghttp2 لتقليل مخاطر الاستغلال.
تجنب استخدام مكتبة
nghttp2 في نقاط نهاية واجهة برمجة التطبيقات (API) المتأثرة حتى يتم حل المشكلة.في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على تصحيح لهذه الثغرة الأمنية.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾