llhttp allows HTTP Request Smuggling via Flawed Parsing of Transfer-Encoding

中 6.5CVE-2022-32213 · BIT-node-2022-32213 · BIT-node-min-2022-32213 · 14/07/2022 公開 · 17/06/2026 更新

要点

CVE-2022-32213 は llhttp (llhttp), node.js (nodejs), sinec ins (siemens) に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：44.8%（全脆弱性の 98.8% より高い）。
対処：6.0.7, 2.1.5, 14.20.1, 16.17.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
llhttp llhttp	`≥ 6.0.0, < 6.0.7< 2.1.5`	`6.0.72.1.5`
node.js nodejs	`≥ 14.0.0, ≤ 14.14.0≥ 14.15.0, < 14.20.1≥ 16.0.0, ≤ 16.12.0≥ 16.13.0, < 16.17.1≥ 18.0.0, < 18.9.1`	`14.20.116.17.118.9.1`
sinec ins siemens	`= 1.0`	修正版なし
stormshield management center stormshield	`< 3.3.2`	`3.3.2`
llhttp npm	`< 6.0.7`	`6.0.7`

概要

The llhttp parser in the http module in Node.js v17.x does not correctly parse and validate Transfer-Encoding headers and can lead to HTTP Request Smuggling (HRS).

Impacts:

All versions of the nodejs 18.x, 16.x, and 14.x releases lines.
llhttp v6.0.7 and llhttp v2.1.5 contains the fixes that were updated inside Node.js

NVD の説明

The llhttp parser <v14.20.1, <v16.17.1 and <v18.9.1 in the http module in Node.js does not correctly parse and validate Transfer-Encoding headers and can lead to HTTP Request Smuggling (HRS).

参考情報

llhttp のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン