Node.js による報告：データの機密性/完全性の脆弱性 - CVE-2017-15896 TLSハンドシェイクの失敗によりNode.jsはSSL_read()の使用に関するOpenSSLの脆弱性CVE-2017-3737の影響を受けました。その結果、アクティブなネットワーク攻撃者が、TLS認証および暗号化のバイパスでTLSまたはHTTP2モジュールを使用し、Node.jsにアプリケーションデータを送信する可能性がありました。初期化されていないバッファの脆弱性 - CVE-2017-15897 Node.jsにバージョン8.Xおよび9.Xのバグがあり、fill値のエンコーディングが指定されたエンコーディングと一致しない場合に、バッファが初期化されませんでした。たとえば、「Buffer.alloc(0x100, 'This is not correctly encoded', 'hex');」では、このような場合にバッファの実装が更新され、バッファがすべてゼロに初期化されるようになりました。また、OpenSSLのアップデート- CVE 2017-3738にも含まれます。OpenSSL-1.0.2のCVE 2017-3738はノードに影響しましたが、その重要度は低いものでした。

検出

FreeBSD： node.js -- データの機密性/整合性の脆弱性、2017年12月（bea84a7a-e0c9-11e7-b4f3-11baa0c2df21）

critical Nessus プラグイン ID 105259

変更ログが見つかりません