CVE-2025-31498

Nome do Software Vulnerável e Versões Afetadas Versões do c-ares de 1.32.3 até 1.34.4 Versões do Node.js anteriores a 22.15.0

Descrição Uma vulnerabilidade de use-after-free existe na função read answers() do c-ares, uma biblioteca utilizada para resolução DNS assíncrona. Isso ocorre quando process answer() pode reenfileirar uma consulta devido a uma Falha de Cookie DNS ou se o servidor upstream não suportar adequadamente o EDNS, ou potencialmente em consultas TCP se a conexão remota for fechada imediatamente após uma resposta. Se ocorrer um problema ao tentar enviar a nova transação pela rede, o handle de conexão é fechado, mas read answers() ainda espera que ele esteja disponível. Um atacante remoto poderia potencialmente explorar isso inundando o alvo com pacotes ICMP UNREACHABLE se controlar o servidor de nomes upstream, ou um atacante local poderia manipular o comportamento do sistema para fazer com que send() ou write() retornem uma condição de falha. Esta vulnerabilidade é corrigida na versão 1.34.5 do c-ares.

Recomendações Atualize o c-ares para a versão 1.34.5 ou posterior. Atualize o Node.js para a versão 22.15.0 ou posterior.