NVD脆弱性詳細

CVE-2020-8252

概要	The implementation of realpath in libuv < 10.22.1, < 12.18.4, and < 14.9.0 used within Node.js incorrectly determined the buffer size which can result in a buffer overflow if the resolved path is longer than 256 bytes.
公表日	2020年9月19日6:15
登録日	2021年1月26日12:01
最終更新日	2024年11月21日14:38

影響を受けるソフトウェアの構成

構成2		以上	以下	より上	未満
cpe:2.3:o:opensuse:leap:15.2:::::::*

構成3		以上	以下	より上	未満
cpe:2.3:o:fedoraproject:fedora:33:::::::*

関連情報、対策とツール

No	URL	タグ
1	http://lists.opensuse.org/opensuse-security-announce/2020-10/msg00011.html	Third Party Advisory
2	http://lists.opensuse.org/opensuse-security-announce/2020-10/msg00011.html	Third Party Advisory
3	http://lists.opensuse.org/opensuse-security-announce/2020-10/msg00023.html	Mailing List Third Party Advisory
4	http://lists.opensuse.org/opensuse-security-announce/2020-10/msg00023.html	Mailing List Third Party Advisory
5	https://hackerone.com/reports/965914	Permissions Required Third Party Advisory
6	https://hackerone.com/reports/965914	Permissions Required Third Party Advisory
7	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/4OOYAMJVLLCLXDTHW3V5UXNULZBBK4O6/
8	https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/4OOYAMJVLLCLXDTHW3V5UXNULZBBK4O6/
9	https://nodejs.org/en/blog/vulnerability/september-2020-security-releases/	Vendor Advisory
10	https://nodejs.org/en/blog/vulnerability/september-2020-security-releases/	Vendor Advisory
11	https://security.gentoo.org/glsa/202009-15	Third Party Advisory
12	https://security.gentoo.org/glsa/202009-15	Third Party Advisory
13	https://security.netapp.com/advisory/ntap-20201009-0004/	Third Party Advisory
14	https://security.netapp.com/advisory/ntap-20201009-0004/	Third Party Advisory
15	https://usn.ubuntu.com/4548-1/	Third Party Advisory
16	https://usn.ubuntu.com/4548-1/	Third Party Advisory

共通脆弱性一覧

No	CWE	名前	URL
1	CWE-120	古典的バッファオーバーフロー	https://cwe.mitre.org/data/definitions/120.html

JVN脆弱性情報

Node.js における古典的バッファオーバーフローの脆弱性

タイトル	Node.js における古典的バッファオーバーフローの脆弱性
概要	Node.js には、古典的バッファオーバーフローの脆弱性が存在します。
想定される影響	情報を取得される、情報を改ざんされる、およびサービス運用妨害 (DoS) 状態にされる可能性があります。
対策	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日	2020年9月15日0:00
登録日	2021年4月9日14:31
最終更新日	2022年4月26日13:54

影響を受けるシステム

openSUSE project

openSUSE Leap

Node.js Foundation

Node.js 10.22.1 未満

Node.js 12.18.4 未満

Node.js 14.9.0 未満

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2020-8252	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-8252
National Vulnerability Database (NVD)
2	CVE-2020-8252	https://nvd.nist.gov/vuln/detail/CVE-2020-8252

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-120	https://cwe.mitre.org/data/definitions/120.html

ベンダー情報

No	名前	URL
Node.js Foundation
1	September 2020 Security Releases	https://nodejs.org/en/blog/vulnerability/september-2020-security-releases/
opensuse-security-announce
2	openSUSE-SU-2020:1616-1	https://lists.opensuse.org/opensuse-security-announce/2020-10/msg00011.html
3	openSUSE-SU-2020:1660-1	https://lists.opensuse.org/opensuse-security-announce/2020-10/msg00023.html

その他

No	名前	URL
ICS-CERT ADVISORY
1	ICSA-22-111-03	https://www.cisa.gov/uscert/ics/advisories/icsa-22-111-03
JVN
2	JVNVU#93772356	http://jvn.jp/vu/JVNVU93772356/index.html

変更履歴

No	変更内容	変更日
1	[2021年04月09日] 掲載	2021年4月9日14:31
2	[2022年04月26日] 参考情報：JVN (JVNVU#93772356) を追加参考情報：ICS-CERT ADVISORY (ICSA-22-111-03) を追加	2022年4月26日13:25