リモート Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2022: 9073 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 任意のサブジェクト代替名 (SAN) タイプを受け入れると、PKI が特定の SAN タイプを使用するように明確に定義されていない限り、名前に制約のある中間体がバイパスされる可能性があります。Node.js < 12.22.9, < 14.18.3, < 16.13.2, および < 17.3.1は、URI SAN タイプを受け入れていました。これは、多くの場合、PKI が使用するように定義されていません。
    さらに、プロトコルが URI SAN を許可している場合、Node.js は URI を正しく一致させませんでした。これを修正した Node.js のバージョンは、ホスト名に対して証明書をチェックするときに URI SAN タイプを無効にします。この動作は、--security-revertコマンドラインオプションで元に戻すことができます。(CVE-2021-44531)

  - Node.js < 12.22.9, < 14.18.3, < 16.13.2, および < 17.3.1は、SAN (Subject Alternative Names) を文字列形式に変換します。この文字列を使用して、接続を検証する際にホスト名に対してピア証明書をチェックします。証明書チェーン内で名前の制約が使用されると、文字列形式が注入の脆弱性の影響を受け、これらの名前の制約がバイパスされる可能性があります。これを修正した Node.js のバージョンは、インジェクションを防ぐために、問題がある文字を含む SAN をエスケープします。この動作は、--security-revertコマンドラインオプションで元に戻すことができます。(CVE-2021-44532)

  - Node.js < 12.22.9, < 14.18.3, < 16.13.2, および < 17.3.1が複数値の相対識別名を適切に処理しませんでした。攻撃者は、たとえば、証明書サブジェクトの検証をバイパスできる Common Name を注入するために、複数値の Relative Distinguished Name として解釈される単一値の Relative Distinguished Name を含む証明書サブジェクトを作成する可能性があります。影響を受けるバージョンの Node.js は複数値の Relative Distinguished Name を受け入れないため、そのような攻撃自体に対して脆弱ではありません。ただし、証明書サブジェクトのノードの曖昧な表現を使用するサードパーティコードは、脆弱である可能性があります。(CVE-2021-44533)

  - Minimist <= 1.2.5 は、ファイル index.js、関数 setKey() (69-95 行) を介した Prototype Pollution に対して脆弱です。
    (CVE-2021-44906)

  - console.table() 関数のフォーマットロジックにより、ユーザー制御の入力をプロパティパラメーターに渡すことはできませんが、最初のパラメーターとして少なくとも 1 つのプロパティを持つプレーンオブジェクトを渡すことは安全ではありません。これは __proto__ である可能性があります。プロトタイプ汚染は、オブジェクトプロトタイプの数値キーに割り当てられる空の文字列のみを許可するという点で、コントロールが非常に制限されています。Node.js >= 12.22.9、>= 14.18.3、>= 16.13.2、および >= 17.3.1はこれらのプロパティが割り当てられている null プロトタイプを使用しています。(CVE-2022-21824)

  - minimatch パッケージに脆弱性が見つかりました。この欠陥により、特定の引数で braceExpand 関数を呼び出す際に、正規表現によるサービス拒否 (ReDoS) が発生し、サービス拒否が発生する可能性があります。(CVE-2022-3517)

  - Node.js バージョン <14.21.1、<16.18.1、<18.12.1、< 19.0.1 に OS コマンドインジェクションの脆弱性が存在します。これは、IsIPAddress が DBS リクエストを行う前に IP アドレスが無効かどうかを適切にチェックしないため、容易にバイパスできる IsAllowedHost チェックが不十分なためです。これにより、再バインド攻撃が可能になります。https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32212 でのこの問題の修正は不完全であり、この新しい CVE は修正を完了するためのものです。(CVE-2022-43548)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

RHEL 8: nodejs: 16 (RHSA-2022: 9073)

critical Nessus プラグイン ID 168922

バージョン 1.4