CVE-2021-44532

Node.js versiones anteriores a 12.22.9, versiones anteriores a 14.18.3, versiones anteriores a 16.13.2 y versiones anteriores a 17.3.1, convierte los SAN (Subject Alternative Names) a un formato de cadena. usa esta cadena para comprobar los certificados de los compañeros con los nombres de host cuando comprueba las conexiones. El formato de cadena estaba sujeto a una vulnerabilidad de inyección cuando eran usados restricciones de nombre dentro de una cadena de certificados, permitiendo omitir estas restricciones de nombre. Las versiones de Node.js con la corrección de esto escapan de los SAN que contienen los caracteres problemáticos para evitar la inyección. Este comportamiento puede revertirse mediante la opción de línea de comandos --security-revert

It was found that node.js did not safely read the x509 certificate generalName format properly, resulting in data injection. A certificate could use a specially crafted extension in order to be successfully validated, permitting an attacker to impersonate a trusted host.