주요 변경사항
- CVE-2021-22959: 헤더에 있는 공백으로 인해 발생하는 HTTP Request Smuggling 취약점 (중간)
- HTTP 파서는 헤더 이름과 콜론 사이에 공백이 있는 요청도 허용합니다. 이로 인해 HTTP Request Smuggling(HRS) 취약점이 발생할 수 있습니다. 자세한 내용은 CVE-2021-22959가 공개되고 나면 확인할 수 있습니다.
- CVE-2021-22960: 요청 본문(body)을 해석할 때의 HTTP Request Smuggling 취약점 (중간)
- 몇 개로 분할된 요청의 본문을 파싱할 때 chunk 확장은 무시합니다. 이로 인해 특정 상황에서 HTTP Request Smuggling(HRS) 취약점이 발생할 수 있습니다. 자세한 내용은 CVE-2021-22960이 공개되고 나면 확인할 수 있습니다.
Commits
- [
8c254ca7e4
] - deps: update llhttp to 2.1.4 (Fedor Indutny) nodejs-private/node-private#285 - [
9b92ae2499
] - http: add regression test for smuggling content length (Matteo Collina) nodejs-private/node-private#285 - [
f467539719
] - http: add regression test for chunked smuggling (Matteo Collina) nodejs-private/node-private#285
Windows 32-bit Installer: https://nodejs.org/dist/v14.18.1/node-v14.18.1-x86.msi
Windows 64-bit Installer: https://nodejs.org/dist/v14.18.1/node-v14.18.1-x64.msi
Windows 32-bit Binary: https://nodejs.org/dist/v14.18.1/win-x86/node.exe
Windows 64-bit Binary: https://nodejs.org/dist/v14.18.1/win-x64/node.exe
macOS 64-bit Installer: https://nodejs.org/dist/v14.18.1/node-v14.18.1.pkg
macOS Intel 64-bit Binary: https://nodejs.org/dist/v14.18.1/node-v14.18.1-darwin-x64.tar.gz
Linux 64-bit Binary: https://nodejs.org/dist/v14.18.1/node-v14.18.1-linux-x64.tar.xz
Linux PPC LE 64-bit Binary: https://nodejs.org/dist/v14.18.1/node-v14.18.1-linux-ppc64le.tar.xz
Linux s390x 64-bit Binary: https://nodejs.org/dist/v14.18.1/node-v14.18.1-linux-s390x.tar.xz
AIX 64-bit Binary: https://nodejs.org/dist/v14.18.1/node-v14.18.1-aix-ppc64.tar.gz
ARMv7 32-bit Binary: https://nodejs.org/dist/v14.18.1/node-v14.18.1-linux-armv7l.tar.xz
ARMv8 64-bit Binary: https://nodejs.org/dist/v14.18.1/node-v14.18.1-linux-arm64.tar.xz
Source Code: https://nodejs.org/dist/v14.18.1/node-v14.18.1.tar.gz
Other release files: https://nodejs.org/dist/v14.18.1/
Documentation: https://nodejs.org/docs/v14.18.1/api/
SHASUMS
1 | -----BEGIN PGP SIGNED MESSAGE----- |