Node.js による報告：

更新は、すべてのアクティブなNode.jsリリースラインで利用可能になりました。Node.jsのセキュリティ欠陥の修正に加えて、重要度中のセキュリティ脆弱性の修正を含むOpenSSL 1.0.2rへのNode.js 6および8のアップグレードも含まれます。

これらのリリースでは、最初の発表で言及された入力の誤解（CWE-115）の欠陥の修正を保留することが決定されました。この欠陥の重要度は非常に低く、リリースできる状態にある完全で安定した修正はまだないと考えています。近い将来、代替のメカニズムを介してこの欠陥に対処することを検討しています。さらに、Node.js 6の変更に対して追加のCVEを導入しました。これをサービス拒否（CWE-400）の欠陥として分類することを決定しました。

Node.jsの全ユーザーは、早急に以下のバージョンにアップグレードすることを推奨します。OpenSSL：0バイトのレコードパディングオラクル（CVE-2019-1559）のOpenSSL 1.0.2rにはCVE-2019-1559の修正が含まれ、Node.jsのバージョン6および8のリリースのみに含まれています。Node.js 10および11は、欠陥が含まれていない新しいバージョンのOpenSSLを使用するため、この脆弱性の影響を受けません。

特定の状況下で、TLSサーバーは、無効なパディングのあるゼロバイトレコードを受信した場合と、無効なMACのあるゼロバイトレコードの場合とでは、クライアントに対して異なる応答を強制される可能性があります。
これは、データを復号するパディングオラクル攻撃の基盤として使用されます。

悪用される可能性があるのは、特定の条件で実行される特定の暗号スイートを使用するTLS接続のみです。現在、Node.jsでOpenSSLを使用することでこの脆弱性が露呈するかどうかを判断することはできません。弊社では慎重なアプローチをとっており、ユーザーにも同じことを推奨しています。詳細については、アドバイザリおよびこの脆弱性の報告者による詳細な説明を参照してください。

検出

FreeBSD：Node.js -- 複数の脆弱性（b71d7193-3c54-11e9-a3f9-00155d006b02）

medium Nessus プラグイン ID 122571

バージョン 1.4