CVE-2016-10558
Publiée le 2018-05-29 · Dernière modification le 2026-06-17
Les applications Node.js utilisant le module Aerospike (versions antérieures à 2.4.2) sont concernées car elles téléchargent les fichiers binaires nécessaires via HTTP non chiffré. Un attaquant positionné sur le réseau entre votre serveur et la source de téléchargement peut intercepter ce trafic et remplacer le fichier légitime par un fichier malveillant pour exécuter du code arbitraire sur votre système. Bien que cela ne nécessite ni authentification ni interaction de l'utilisateur, l'opération est difficile à réaliser car l'attaquant doit être en mesure d'effectuer une attaque de type « homme du milieu » (man-in-the-middle).
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
aerospike is an Aerospike add-on module for Node.js. aerospike versions below 2.4.2 download binary resources over HTTP, which leaves the module vulnerable to MITM attacks. It may be possible to cause remote code execution (RCE) by swapping out the requested binary with an attacker controlled binary if the attacker is on the network or positioned in between the user and the remote server.