首页 游戏 软件 资讯 排行榜 专题
首页
科技数码
Deno高危漏洞(CVE-2026-22863/22864)分析:密钥泄露与代码执行风险

Deno高危漏洞(CVE-2026-22863/22864)分析:密钥泄露与代码执行风险

热心网友
44
转载
2026-01-20

这些漏洞分别影响了运行时的加密兼容性与Windows平台的命令执行功能,可能导致服务器敏感密钥泄露,进而使攻击者能够执行任意代码。

免费影视、动漫、音乐、游戏、小说资源长期稳定更新! 👉 点此立即查看 👈

以“默认安全”架构著称的现代JavaScript/TypeScript运行时Deno,近日曝出两个重大安全漏洞。这些问题涉及运行时对加密的兼容处理以及Windows平台的命令执行机制,存在服务器密钥泄露风险,并可能允许攻击者在受影响系统上运行任意代码。

加密模块漏洞(CVE-2026-22863)

其中最为严重的CVE-2026-22863漏洞CVSS评分高达9.2,存在于Deno的node:crypto兼容层中——该模块旨在让Deno能够运行为Node.js编写的代码。

根据安全公告,node:crypto的实现未能正确终止加密操作。在标准加密流程中,final()方法本应结束加密过程并清理状态。但在受影响的版本中,该方法会使加密流保持开启状态,实质上允许了“无限加密”。

报告指出,这种状态管理缺陷“可能导致暴力破解尝试,以及更精细的攻击手段以获取服务器密钥”。分析报告中提供的PoC显示,调用cipher.final()会产生一个仍保持活动状态且内部缓冲区可访问的Cipheriv对象,而非预期的已关闭CipherBase对象。

Windows命令执行漏洞(CVE-2026-22864)

第二个漏洞CVE-2026-22864影响Deno在Windows平台创建子进程的能力。分析报告详细描述了通过Deno.Command API执行批处理文件时“绕过已修复漏洞”的方法。

Deno本应具备防止子进程注入攻击的安全机制。当用户尝试直接运行.bat文件时,Deno通常会抛出PermissionDenied错误,提示开发者“使用shell执行bat或cmd文件”以确保参数安全处理。

但研究人员发现可通过修改文件扩展名大小写(特别是.BAT)或操纵命令参数来绕过限制。报告中的PoC截图显示,攻击者能通过在批处理文件执行环境中注入参数(args: ["&calc.exe"])成功运行calc.exe(Windows计算器),实现在主机上执行任意代码。

修复建议

用户应立即升级至Deno v2.6.0或更高版本以修复这些漏洞。

来源:https://www.51cto.com/article/834533.html
免责声明: 游乐网为非赢利性网站,所展示的游戏/软件/文章内容均来自于互联网或第三方用户上传分享,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系youleyoucom@outlook.com。

相关攻略

网络安全及网络安全评估的脆弱性分析
网络安全
网络安全及网络安全评估的脆弱性分析

一、网络安全 (一)网络安全的定义 提到网络安全,其实可以把它理解为一个多维度的“健康状态”。它关乎计算机网络系统中的硬件、数据、程序,确保它们不会因为无意或恶意的原因遭到破坏、篡改或泄露。换句话说,就是既要防止非授权访问,又要保障系统服务能可靠、连续地运行。 有意思的是,网络安全的具体内涵,往往取

热心网友
04.28
网络安全需要掌握哪些技能?网络安全怎么学?
网络安全
网络安全需要掌握哪些技能?网络安全怎么学?

网络安全工程师:核心技能与每日实战 数字化浪潮席卷之下,网络空间的安全防线变得前所未有的重要。无论对政府、企业还是个人用户而言,一次系统漏洞或数据泄露都可能造成难以估量的损失。正因如此,作为数字世界的“守门人”,网络安全工程师的角色正变得至关重要。今天,我们就来深入聊聊,要胜任这份工作,究竟需要打磨

热心网友
04.28
CTF网络安全大赛
网络安全
CTF网络安全大赛

CTF是什么?网络安全竞赛的全面解读 对于网络安全领域之外的朋友而言,CTF可能是一个陌生的术语。简单来说,CTF(Capture The Flag,夺旗赛)是网络安全技术人员之间进行技术竞技与交流的核心形式,常被喻为安全界的“奥林匹克”或“华山论剑”。其诞生源于一个朴素的初衷:黑客们需要一种安全、

热心网友
04.28
网络安全是什么?学习网络安全需要多少钱?
网络安全
网络安全是什么?学习网络安全需要多少钱?

网络安全是什么? 在当今数字化时代,网络安全的重要性已不言而喻。无论是企业运营还是个人生活,一旦忽视安全防护,都可能面临数据泄露、财产损失乃至声誉受损的风险。正因如此,市场对专业网络安全人才的需求日益迫切,学习网络安全技术也成为众多从业者提升竞争力的关键。那么,网络安全究竟涵盖哪些内容?参加系统性的

热心网友
04.19
论网络安全
网络安全
论网络安全

网络安全:构筑数字世界的信任基石 当您思考网络安全时,脑海中会浮现怎样的画面?是影视作品中黑客交锋的炫目场景,还是现实世界里数据泄露的警示新闻?实际上,它的内涵远比这些表象更为深远。网络安全,本质上是一套旨在全面保障计算机网络系统免受非法入侵、恶意攻击、服务中断及信息窃取的综合防护体系与技术实践。它

热心网友
04.19

最新APP

宝宝过生日
宝宝过生日
应用辅助 04-07
台球世界
台球世界
体育竞技 04-07
解绳子
解绳子
休闲益智 04-07
骑兵冲突
骑兵冲突
棋牌策略 04-07
三国真龙传
三国真龙传
角色扮演 04-07

热门推荐

创业板指大涨超2%创近六年新高 市场情绪高涨
科技数码
创业板指大涨超2%创近六年新高 市场情绪高涨

市场情绪显著升温,创业板指盘中涨超2%,报4013点,创2015年6月以来新高。深证成指与上证指数分别上涨1 28%和0 42%,整体表现强劲,超3200只个股上涨。

热心网友
05.13
鸿蒙智行智界FUV谍照曝光 溜背轿跑造型配大尾翼
科技数码
鸿蒙智行智界FUV谍照曝光 溜背轿跑造型配大尾翼

鸿蒙智行智界FUV高清谍照曝光,定位跨界轿跑,设计运动化。新车采用溜背造型与半隐藏门把手以优化风阻,车尾配备大尺寸尾翼。车顶疑似搭载激光雷达,将具备高阶智能驾驶能力。据悉,该车计划在纽博格林北环赛道进行性能测试,对标海外豪华超跑。

热心网友
05.13
深成指今日涨幅超过1% 市场行情最新解读
科技数码
深成指今日涨幅超过1% 市场行情最新解读

市场情绪回暖,深证成份指数盘中涨幅超1%。部分成份股表现活跃,润泽科技涨超14%,网宿科技、晶盛机电等涨幅均超11%,带动指数走强。市场资金对相关板块关注度提升,反映出结构性机会,后续需观察量能与板块轮动持续性。

热心网友
05.13
岚图知音实测续航1300公里 京沪线全程智驾无需充电
科技数码
岚图知音实测续航1300公里 京沪线全程智驾无需充电

岚图知音在京沪线1300公里实测中全程未充电,续航达成率超95%,公开智驾过程在复杂路况下未出现误判或制动异常,展现了高性能传感器与智能系统的协同能力。此次实测以真实场景验证技术可靠性,凸显系统优化对缓解续航与智驾焦虑的关键作用。

热心网友
05.13
余凯出席百度Create大会 地平线与百度战略合作深化
科技数码
余凯出席百度Create大会 地平线与百度战略合作深化

面对AI浪潮,职场人需转变思维,从执行转向整合与决策。核心竞争力在于定义问题、整合资源及情感连接。未来属于能融合专业深度、AI素养与人类软技能的“混合型”人才,主动构建AI工作流并发挥人类在创新与价值判断上的优势是关键。

热心网友
05.13