CVE-2013-4450

Description

The HTTP server in Node.js 0.10.x before 0.10.21 and 0.8.x before 0.8.26 allows remote attackers to cause a denial of service (memory and CPU consumption) by sending a large number of pipelined requests without reading the response.

Scores

Weaknesses (CWE)

• CWE-20

European references

• ENISA EUVD · EUVD-2013-4321
• GCVE · GCVE-0-2013-4450

CERT-FR advisories

• CERTFR-2017-AVI-111 — Multiples vulnérabilités dans les produits Juniper · cert.ssi.gouv.fr

Affected configurations (NVD CPE)

• cpe:2.3:a:nodejs:nodejs:0.8.0:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.1:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.2:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.3:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.4:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.5:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.6:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.7:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.8:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.9:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.10:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.11:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.12:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.13:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.14:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.15:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.16:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.17:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.18:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.19:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.20:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.21:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.22:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.23:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.24:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.8.25:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.0:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.1:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.2:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.3:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.4:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.5:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.6:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.7:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.8:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.9:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.10:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.11:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.12:*:*:*:*:*:*:*
• cpe:2.3:a:nodejs:nodejs:0.10.13:*:*:*:*:*:*:*
• +7 more

Affected products

References

• https://kb.juniper.net/JSA10783
• http://rhn.redhat.com/errata/RHSA-2013-1842.html
• http://lists.opensuse.org/opensuse-updates/2013-12/msg00051.html
• http://www.openwall.com/lists/oss-security/2013/10/20/1
• http://www.securityfocus.com/bid/63229
• http://blog.nodejs.org/2013/10/18/node-v0-10-21-stable/
• http://blog.nodejs.org/2013/10/18/node-v0-8-26-maintenance/
• https://github.com/rapid7/metasploit-framework/pull/2548
• https://groups.google.com/forum/#%21topic/nodejs/NEbweYB0ei0
• https://github.com/joyent/node/issues/6214

Sources