Опасные и интересные уязвимости февраля: Node.js, Windows LDAP и Nvidia CUDA

Node.js

• CVE: CVE-2023-32002
• Уро­вень опас­ности: 9,8, кри­тичес­кий
• Тип уяз­вимос­ти: уда­лен­ное выпол­нение кода (RCE)
• Уяз­вимые про­дук­ты: Node.js 16.0.0–16.20.1, 18.0.0–18.17.0 и 20.0.0–20.5.0

CVE-2023-32002 — это уяз­вимость уда­лен­ного выпол­нения кода (RCE), которая кро­ется в свя­тая свя­тых Node.js — фун­кции Module._load(). Этот метод отве­чает за заг­рузку модулей, а зна­чит, пря­мо вли­яет на работу тысяч при­ложе­ний на JavaScript. Дыру обна­ружи­ли и рас­кры­ли через плат­форму HackerOne. Потен­циаль­но этот баг может прев­ратить­ся в серь­езную голов­ную боль для всех, кто работа­ет с Node.js.

В полити­ке безопас­ности Module._load() обна­ружи­лись косяки, из‑за которых ковар­ные зло­умыш­ленни­ки (и не менее ковар­ные иссле­дова­тели) получи­ли шанс вме­шать­ся в про­цесс и под­совывать свои вре­донос­ные модули. Из‑за бага мож­но обой­ти огра­ниче­ния policy.json и заг­ружать любые модули, даже если они зап­рещены. А это потен­циаль­но — утеч­ка дан­ных, под­мена информа­ции или даже отказ в обслу­жива­нии.

Важ­но пом­нить, что Node.js — это не прос­то сер­верный дви­жок, а фун­дамент для сов­ремен­ных веб‑при­ложе­ний, сер­веров и даже дес­ктоп­ных при­ложе­ний на Electron. Все эти катего­рии про­дук­тов потен­циаль­но могут пос­тра­дать от уяз­вимос­ти.

Для защиты обно­ви Node.js до акту­аль­ной вер­сии: 16.20.1+, 18.17.0+ или 20.5.0+.

Windows LDAP

• CVE: CVE-2025-21376
• Уро­вень опас­ности: 8,1, высокий
• Тип уяз­вимос­ти: уда­лен­ное выпол­нение кода (RCE)
• Уяз­вимые про­дук­ты: Windows Server 2019, Windows 10 (1809 и более поз­дние)

Раз­работ­чики Microsoft вы­кати­ли фев­раль­ский патч безопас­ности, в котором залата­ли 63 дыры в раз­ных про­дук­тах. Четыре бага получи­ли ста­тус кри­тичес­ких.

Осо­бен­но выделя­ется CVE-2025-21376 — лютая RCE-уяз­вимость в Windows LDAP. Здесь все пло­хо: из‑за гон­ки потоков в обра­бот­ке LDAP воз­ника­ет out-of-bounds write (OOBW), что откры­вает дорогу для выпол­нения про­изволь­ного кода в lsass.exe. Прав­да, ата­кующе­му сна­чала нуж­но выиг­рать гон­ку потоков.

Эта уяз­вимость поз­воля­ет уда­лен­ному ата­кующе­му без аутен­тифика­ции выпол­нить свой код на уяз­вимой сис­теме, прос­то закинув хит­ро сос­тавлен­ный зап­рос сво­ей жер­тве. Поль­зователь тут вооб­ще не нужен, а зна­чит, баг потен­циаль­но может рас­простра­нять­ся меж­ду LDAP-сер­верами без какого‑либо вме­шатель­ства. В Microsoft пря­мо говорят: «экс­плу­ата­ция веро­ятна», так что, даже если кажет­ся, что пока все тихо, рас­слаб­лять­ся не сто­ит. Накаты­вай патч, пока твой сер­вер не пог­рузил­ся в пучину хаоса!

Windows DHCP Client Service

• CVE: CVE-2025-21379
• Уро­вень опас­ности: 7,1, высокий
• Тип уяз­вимос­ти: RCE
• Уяз­вимые про­дук­ты: Windows 11 до 10.0.26100.3194, Windows Server 2025 до 10.0.26

CVE-2025-21379 — еще один серь­езный RCE-баг, на этот раз во встро­енном в Windows кли­енте DHCP. Для успешно­го взло­ма ата­кующе­му нуж­но вкли­нить­ся в сетевое вза­имо­дей­ствие меж­ду жер­твой и зап­рашива­емым ресур­сом, то есть устро­ить что‑то вро­де MITM-ата­ки.

Уяз­вимость отно­сит­ся к типу use-after-free: код пов­торно исполь­зует память или ссы­лает­ся на нее пос­ле выс­вобож­дения. В какой‑то момент эта память может сно­ва выделить­ся и записать­ся в дру­гой ука­затель, а ста­рый ука­затель все еще будет ука­зывать куда‑то внут­ри нового выделе­ния. Любые опе­рации с этим «приз­рачным» ука­зате­лем ста­новят­ся опас­ными, потому что теперь эта область памяти уже в рас­поряже­нии дру­гого кода.

Что­бы защитить­ся, обновляй­ся и ставь пат­чи. Они, кста­ти, зак­рыва­ют еще мно­жес­тво най­ден­ных багов — в том чис­ле в Excel, Edge и мно­гих под­систе­мах Windows. Под­робнос­ти о мно­гих из них мы еще навер­няка узна­ем.

Nvidia CUDA

• CVE: CVE-2024-53870
• Уро­вень опас­ности: 3,3, низ­кий
• Тип уяз­вимос­ти: выход за гра­ницы буфера
• Уяз­вимые про­дук­ты: CUDA Toolkit до вер­сии 12.8 вклю­читель­но

CUDA появи­лась в 2006 году как плат­форма для парал­лель­ных вычис­лений и прог­рамми­рова­ния. В сос­тав CUDA Toolkit вхо­дят ути­литы cuobjdump и nvdisasm — средс­тва для ана­лиза бинар­ников CUDA, которые запус­кают­ся на гра­фичес­ких про­цес­сорах Nvidia. Эти инс­тру­мен­ты сами по себе не исполня­ют код CUDA, но нуж­ны для отладки и опти­миза­ции прог­рамм.

Би­нар­ник CUDA — это исполня­емый файл, в котором хра­нит­ся код CUDA, в том чис­ле инс­трук­ции для гра­фичес­ких про­цес­соров Nvidia. Такие фай­лы име­ют рас­ширение .cubin.

Фор­мат cubin осно­ван на стан­дар­тном ELF, который исполь­зует­ся в Linux и Unix. Внут­ри содер­жится не толь­ко сам исполня­емый код, но и слу­жеб­ные дан­ные: таб­лицы сим­волов, информа­ция о релока­ции и отла­доч­ные сек­ции — все, что нуж­но для запус­ка CUDA-кода на GPU Nvidia.

В ходе ауди­та безопас­ности спе­циалис­ты Palo Alto Networks про­вели мас­штаб­ное фаз­зинг‑тес­тирова­ние ути­лит cuobjdump и nvdisasm. В течение месяца они гоняли фай­ловый фаз­зер на обе­их прог­раммах, и резуль­таты ока­зались любопыт­ными: шесть уяз­вимос­тей в cuobjdump и три в nvdisasm.

Все най­ден­ные уяз­вимос­ти уда­лось не толь­ко обна­ружить, но и успешно спро­воци­ровать.

Ба­ги мож­но поделить на два типа:

• пе­репол­нение целочис­ленно­го зна­чения — ког­да код обра­баты­вает чис­ло, слиш­ком боль­шое для выделен­ной под него области памяти;
• вы­ход за гра­ницы буфера — ког­да прог­рамма чита­ет дан­ные за пре­дела­ми выделен­ной памяти, что может при­вес­ти к утеч­ке дан­ных или кра­ху при­ложе­ния.

К при­меру, баг, получив­ший CVE-2024-53870, — это уяз­вимость в бинар­нике cuobjdump: если передать ему пов­режден­ный ELF-файл, мож­но спро­воци­ровать чте­ние за гра­ница­ми буфера. Это может при­вес­ти к час­тично­му отка­зу в обслу­жива­нии — ути­лита прос­то упа­дет. Некото­рые из най­ден­ных уяз­вимос­тей могут поз­волить зло­умыш­ленни­ку получить несан­кци­они­рован­ный дос­туп к информа­ции.

Ата­ка на подоб­ные ути­литы — это, пожалуй, край­не экзо­тичес­кий век­тор, и его экс­плу­ата­ция тре­бует мно­жес­тва усло­вий, одна­ко этот при­мер показы­вает, что уяз­вимость может быть где угод­но, в том чис­ле в инс­тру­мен­тах, от которых не ждешь под­воха.