FreeBSD：Node.js -- 2020年6月のセキュリティリリース（4ca5894c-f7f1-11ea-8ff8-0022489ad614）

high Nessus プラグイン ID 140627

Language:

概要

リモートのFreeBSDホストに1つ以上のセキュリティ関連の更新プログラムがありません。

説明

Node.js レポート：

以下の問題について、v10.x、v12.xおよびv14.x Node.jsリリースラインで更新が利用可能になりました。CR-to-Hypher変換によるHTTPリクエストスマグリング（重要度高）（CVE-2020-8201）影響を受けるNode.jsバージョンは、解析する前に、HTTPリクエストヘッダー内のキャリッジリターンをハイフンに変換していました。これは、ヘッダーの非標準解釈であり、HTTPリクエストスマグリングにつながる可能性があります。

影響:

- 14.xおよび12.xのすべてのバージョンは、未完了のHTTP/1.1リクエストによるリソース枯渇CWE-400によるサービス拒否をリリースします（重要度緊急）（ CVE-2020-8251）Node.jsは、リクエストの送信が遅れたことに基づくHTTPサービス拒否（DOS）攻撃に対して脆弱です。そのため、サーバーが新しい接続を受け入れられなくなる可能性があります。修正は、デフォルトで無効になることを意味する0のデフォルト値を持つrequestTimeoutという名前の新しいhttp.Serverオプションです。Node.jsをエッジサーバーとして使用する場合はこれを設定する必要があります。詳細についてはドキュメントを参照してください。

影響:

- 14.xリリースラインfs.realpath.nativeのすべてのバージョンはバッファオーバーフローを引き起こす可能性があります（重要度中）（CVE-2020-8252）libuvのrealpath実装がバッファサイズを誤って決定していました。そのため、解決されたパスが256バイトを超える場合にバッファオーバーフローが起きる可能性があります。

影響:

- 10.xリリースラインの全バージョン

- 12.xリリースラインの全バージョン

- 14.9.0以前の14.xリリースラインの全バージョン