CVE-2022-29167

一、漏洞信息
 漏洞编号：[CVE-2022-29167](https://nvd.nist.gov/vuln/detail/CVE-2022-29167)
 漏洞归属组件：[nodejs-hawk](https://gitee.com/src-openeuler/nodejs-hawk)
 漏洞归属的版本：4.1.2
 CVSS V3.0分值：
  BaseScore：7.5 High
  Vector：CVSS：3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
 漏洞简述：
  Hawk is an HTTP authentication scheme providing mechanisms for making authenticated HTTP requests with partial cryptographic verification of the request and response, covering the HTTP method, request URI, host, and optionally the request payload. Hawk used a regular expression to parse `Host` HTTP header (`Hawk.utils.parseHost()`), which was subject to regular expression DoS attack - meaning each added character in the attacker s input increases the computation time exponentially. `parseHost()` was patched in `9.0.1` to use built-in `URL` class to parse hostname instead. `Hawk.authenticate()` accepts `options` argument. If that contains `host` and `port`, those would be used instead of a call to `utils.parseHost()`.
 漏洞公开时间：2022-05-06 07:15
 漏洞创建时间：2022-05-06 07:54:33
 漏洞详情参考链接：
  https://nvd.nist.gov/vuln/detail/CVE-2022-29167
<details>
<summary>更多参考(点击展开)</summary>

| 参考来源 | 参考链接 | 来源链接 |
| ------- | -------- | -------- |
| MISC | https://github.com/mozilla/hawk/pull/286 |  |
| CONFIRM | https://github.com/mozilla/hawk/security/advisories/GHSA-44pw-h2cw-w3vq |  |
| redhat | https://access.redhat.com/security/cve/CVE-2022-29167 |  |
| MISC | https://github.com/mozilla/hawk/pull/286 |  |
| CONFIRM | https://github.com/mozilla/hawk/security/advisories/GHSA-44pw-h2cw-w3vq |  |

</details>

漏洞分析指导链接：
  https://gitee.com/openeuler/cve-manager/blob/master/cve-vulner-manager/doc/md/manual.md
 漏洞数据来源:
  其它
 漏洞补丁信息：
  <details>
<summary>详情(点击展开)</summary>

| 影响的包 | 修复版本 | 修复补丁 | 问题引入补丁 | 来源  |
| ------- | -------- | ------- | -------- | --------- |
|  |  | https://github.com/mozilla/hawk/pull/286 |  | MISC |

</details>

二、漏洞分析结构反馈
 影响性分析说明：
    Hawk 是一种 HTTP 身份验证方案，提供了通过对请求和响应进行部分加密验证来生成经过身份验证的 HTTP 请求的机制，包括 HTTP 方法、请求 URI、主机以及可选的请求有效负载。Hawk 使用正则表达式解析 `Host` HTTP 标头（`Hawk.utils.parseHost()`），该标头受到正则表达式 DoS 攻击 - 这意味着攻击者输入中的每个添加字符都会以指数方式增加计算时间。`parseHost()` 在 `9.0.1` 中被修补以使用内置的 `URL` 类来解析主机名。`Hawk.authenticate()` 接受 `options` 参数。如果它包含 `host` 和 `port`，则将使用它们而不是调用 `utils.parseHost()`。 
 openEuler评分：
  7.5
 Vector：CVSS：3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
 受影响版本排查(受影响/不受影响)：
  1.master(9.0.1):受影响
2.openEuler-20.03-LTS-SP1(4.1.2):受影响
3.openEuler-20.03-LTS-SP3(4.1.2):受影响
4.openEuler-22.03-LTS-Next(9.0.1):受影响
5.openEuler-22.03-LTS(4.1.2):受影响

修复是否涉及abi变化(是/否)：
  1.master(9.0.1):否
2.openEuler-20.03-LTS-SP1(4.1.2):否
3.openEuler-20.03-LTS-SP3(4.1.2):否
4.openEuler-22.03-LTS-Next(9.0.1):否
5.openEuler-22.03-LTS(4.1.2):否

三、漏洞修复
安全公告链接：https://www.openeuler.org/zh/security/safety-bulletin/detail/?id=openEuler-SA-2022-1667

src-openEuler/nodejs-hawk
关闭

内容风险标识

评论 (10)

src-openEuler/nodejs-hawk关闭 .gitee-modal { width: 500px !important; }

内容风险标识

CVE-2022-29167

评论 (10)

搜索帮助

src-openEuler/nodejs-hawk
关闭