SUSE SLES15 セキュリティ更新プログラム: nodejs12 (SUSE-SU-2021:2327-1)
critical Nessus プラグイン ID 151655
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES15ホストには、SUSE-SU-2021:2327-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- 3.2.2、4.0.1 および 5.0.5より前のパッケージ y18n は、プロトタイプ汚染に対して脆弱です。 (CVE-2020-7774)
-16.4.1、14.17.2、12.22.2より前のNode.js は、文字列をASCIIに変換するために使用されるuv__idna_toascii()関数の領域外読み取りに対して脆弱です。ポインターpは、それがpeを超えているかどうかをチェックせずに読み取られ、増加されます。後者は、バッファの終端までポインターを保持します。これにより、情報漏洩やクラッシュが発生する可能性があります。この関数は、uv_getaddrinfo() を介してトリガーできます。(CVE-2021-22918)
-3.0.8より前のhosted-git-infoパッケージは、index.jsのfromUrl関数における正規表現shortcutMatchを介する、正規表現のサービス拒否(ReDoS)に対して脆弱です。影響を受ける正規表現は、多項式の最悪の場合の時間の複雑さを示しています。(CVE-2021-23362)
-8.0.1で修正された、SSRI 5.2.2-8.0.0は、サービス拒否に対して脆弱である正規表現を使用してSRIを処理します。悪意のあるSRIの処理に非常に長い時間がかかり、サービス拒否が発生する可能性があります。この問題は、厳格なオプションを使用するコンシューマーにのみ影響します。(CVE-2021-27290)
- 悪意を持って細工された再ネゴシエーションのClientHelloメッセージがクライアントから送信された場合、OpenSSL TLSサーバーがクラッシュする可能性があります。TLSv1.2再ネゴシエーションClientHelloでsignature_algorithms拡張 (初期のClientHelloに存在) が省略されているが、signature_algorithms_cert拡張が含まれている場合、NULLポインターデリファレンスが発生し、クラッシュとサービス拒否攻撃が引き起こされる可能性があります。サーバーは、TLSv1.2と再ネゴシエーションが有効になっている場合 (デフォルトの構成) にのみ脆弱です。OpenSSL TLSクライアントは、この問題の影響を受けません。OpenSSLのすべてのバージョン1.1.1は、この問題の影響を受けます。これらのバージョンのユーザーは、OpenSSL 1.1.1kにアップグレードする必要があります。OpenSSL 1.0.2は、この問題の影響を受けません。OpenSSL 1.1.1kで修正されました(1.1.1-1.1.1jが影響を受けます)。(CVE-2021-3449)
- X509_V_FLAG_X509_STRICTフラグは、証明書チェーンに存在する証明書の追加セキュリティチェックを有効にします。デフォルトではこのフラグは設定されていません。OpenSSLバージョン1.1.1hから、楕円曲線パラメーターを明示的にエンコードしたチェーン内の証明書を許可しないためのチェックが、厳密なチェックとして追加されました。このチェックの実装にエラーがあるため、チェーン内の証明書が有効なCA証明書であることを確認する以前のチェックの結果が上書きされました。これは、非CA証明書が他の証明書を発行できてはならないというチェックを実質的にバイパスします。目的が構成されている場合、証明書が有効なCAであるかどうかをチェックする機会がそれ以降にあります。libcryptoに実装されているすべての名前付き目的値が、このチェックを実行します。したがって、目的が設定されている場合には、厳密なフラグが使用されていても証明書チェーンが拒否されます。libsslのクライアントとサーバーの証明書検証ルーチンでは、デフォルトで目的が設定されていますが、これはアプリケーションによってオーバーライドまたは削除される可能性があります。この影響を受けるには、アプリケーションによってX509_V_FLAG_X509_STRICT検証フラグが明示的に設定され、かつ証明書検証の目的は設定されないか、TLSクライアントまたはサーバーアプリケーションの場合にはデフォルトの目的がオーバーライドされる必要があります。OpenSSLバージョン1.1.1h以降は、この問題の影響を受けます。これらのバージョンのユーザーは、OpenSSL 1.1.1kにアップグレードする必要があります。
OpenSSL 1.0.2は、この問題の影響を受けません。OpenSSL 1.1.1kで修正されました(1.1.1h-1.1.1jが影響を受けます)。
(CVE-2021-3450)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
影響を受ける nodejs12、nodejs12-devel、nodejs12-docs、npm12 パッケージを更新してください。参考資料
https://bugzilla.suse.com/1183851
https://bugzilla.suse.com/1183852
https://bugzilla.suse.com/1184450
https://bugzilla.suse.com/1187973
https://bugzilla.suse.com/1187976
https://bugzilla.suse.com/1187977
https://www.suse.com/security/cve/CVE-2020-7774
https://www.suse.com/security/cve/CVE-2021-22918
https://www.suse.com/security/cve/CVE-2021-23362
https://www.suse.com/security/cve/CVE-2021-27290
https://www.suse.com/security/cve/CVE-2021-3449
プラグインの詳細
深刻度: Critical
ID: 151655
ファイル名: suse_SU-2021-2327-1.nasl
バージョン: 1.11
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2021/7/15
更新日: 2023/11/1
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.7
CVSS v2
リスクファクター: High
基本値: 7.5
現状値: 6.2
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2020-7774
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 9.1
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:npm12, cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:nodejs12, p-cpe:/a:novell:suse_linux:nodejs12-devel, p-cpe:/a:novell:suse_linux:nodejs12-docs
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2021/7/14
脆弱性公開日: 2020/11/17
参照情報
CVE: CVE-2020-7774, CVE-2021-22918, CVE-2021-23362, CVE-2021-27290, CVE-2021-3449, CVE-2021-3450
IAVA: 2021-A-0149-S, 2021-A-0192-S, 2021-A-0193-S, 2021-A-0195
IAVB: 2021-B-0041-S
SuSE: SUSE-SU-2021:2327-1