NPM组件包 openssl v2.0 存在命令注入漏洞(CVE-2023-49210)
CVE编号
CVE-2023-49210利用情况
暂无补丁情况
N/A披露时间
2023-11-24漏洞描述
openssl(又名node-openssl) NPM组件包是对开源加密仓库 OpenSSL 的封装，用于调用 OpenSSL 实现数据加密和签名。openssl 函数的 opts 参数用于构建调用 OpenSSL 的命令参数。该软件包更新至 v2.0 版本，于2021年11月16日停止维护。 openssl 2.0 版本中，由于未对 opts 参数中的 verb 字段进行过滤，当用户通过调用 openssl() 函数时，可在 opts 参数的 verb 参数中注入任意代码，进而在用户主机中执行任意系统命令。解决建议
"作者已停止维护，建议使用node-forge等组件替换"
参考链接 |
|
|---|---|
| https://gist.github.com/mcoimbra/b05a55a5760172dccaa0a827647ad63e | |
| https://github.com/ossf/malicious-packages/tree/main/malicious/npm | |
| https://www.npmjs.com/package/openssl |
- 攻击路径 N/A
- 攻击复杂度 N/A
- 权限要求 N/A
- 影响范围 N/A
- 用户交互 N/A
- 可用性 N/A
- 保密性 N/A
- 完整性 N/A
| CWE-ID | 漏洞类型 |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论