Node.jsによる報告：Node.jsインスペクターDNSリバインドの脆弱性（ CVE-2018-7160 ）。Node.js 6.x以降には、--inspectおよび関連するコマンドラインフラグによってアクティブにされる可能性のあるデバッガープロトコル（「インスペクター」とも呼ばれる）が含まれています。このデバッガーサービスは、リモートコードの実行を実行するために悪用される可能性があるDNS再バインド攻撃に脆弱でした。「path」モジュールの正規表現のサービス拒否（CVE-2018-7158）。Node.js 4.xリリースラインの「path」モジュールには、正規表現のサービス拒否（ReDoS）につながる可能性のあるベクトルが含まれています。問題のコードはNode.js 6.x以降では置換されたため、この脆弱性はNode.js 4.xのすべてのバージョンにのみ影響します 。HTTPのContent-Lengthヘッダー値のスペースが無視される（CVE-2018-7159）。現在のすべてのバージョンのNode.jsのHTTPパーサーは、Content-Lengthヘッダー内のスペースを無視するため、「Content-Length 1 2」は値「12」として解釈されます。HTTP仕様では、Content-Length値のスペースが許可されておらず、Node.js HTTPパーサーはこの特定の違いに合わせて調整されています。

検出

FreeBSD: node.js -- 複数の脆弱性（5a9bbb6e-32d3-11e8-a769-6daaba161086）

high Nessus プラグイン ID 108738

変更ログが見つかりません