Sintesi

Rilasciati aggiornamenti di sicurezza che risolvono alcune vulnerabilità, di cui una con gravità “alta”, in Node.js, noto software open source per l’esecuzione di codice Javascript. La vulnerabilità con gravità “alta”, dovuta ad una non efficace correzione della CVE-2024-27980 – trattata nell’ambito della AL08/240412/CSIRT-ITA – potrebbe permettere l’esecuzione di codice arbitrario sulle istanze interessate tramite comandi CLI opportunamente predisposti.

Tipologia

• Arbitrary Code Execution

Prodotti e versioni affette

Node.js, versioni:

• 22.x
• 20.x
• 18.x

Azioni di mitigazione

Si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.

Identificatori univoci vulnerabilità

Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “alta”:

CVE-2024-36138

Riferimenti

https://nodejs.org/en/blog/vulnerability/july-2024-security-releases

¹La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.