リモートホストにインストールされているNode.jsのバージョンは、14.21.3、16.19.1、18.14.1、19.6.1 より前のものです。したがって、2023 年 2 月 16 日木曜日のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - process.mainModule.require() を使用して、権限をバイパスし、承認されていないモジュールにアクセスすることが可能でした。これは、実験的な権限オプションを --experimental-policy で有効にしたユーザーにのみ影響します。この脆弱性を報告してくれた @goums に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。影響: (CVE-2023-23918)

  - 場合によっては、Node.js が OpenSSL エラースタックを設定する可能性のある操作の後にそれをクリアしませんでした。これにより、後続の暗号操作中に誤検出エラーが発生し、同じスレッド上で発生する可能性があります。これを使用して、サービス拒否が引き起こされる可能性があります。この脆弱性を報告、発見してくれた Viasat Secure Mobile の Morgan Jones 氏と Ryan Dorrity 氏に感謝の意を表します。また、この問題を修正してくれた Rafael Gonzaga 氏に感謝の意を表します。影響: (CVE-2023-23919)

  - Node.js のフェッチ API は、「host」ヘッダーの CRLF インジェクションを防止しませんでした。これにより、HTTP 応答分割や HTTP ヘッダーインジェクションなどの攻撃が可能になります。この脆弱性を報告してくれた Zhipeng Zhang 氏 (@timon8) に、および修正してくれた Robert Nagy 氏に感謝の意を表します。影響: (CVE-2023-23936)

  - Regular 表現のサービス拒否 (ReDoS) 攻撃に対して脆弱な Node.js のフェッチ API の Headers.set() メソッドおよび Headers.append() メソッド。この脆弱性を報告してくれた Carter Snook 氏に、および修正してくれた Rich Trott 氏に感謝の意を表します。影響: (CVE-2023-24807)

  - 昇格した権限で実行すると、Node.js が ICU データを検索し、ロードする可能性があります。Node.js は、これを回避するために ICU_NO_USER_DATA_OVERRIDE で構築するように変更されました。この脆弱性を報告してくれた Ben Noordhuis 氏に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。影響: (CVE-2023-23920)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Node.js 14.x < 14.21.3 / 16.x < 16.19.1 / 18.x < 18.14.1 / 19.x < 19.6.1 の複数の脆弱性 (2023 年 2 月 16 日木曜日のセキュリティリリース)。

high Nessus プラグイン ID 171595

バージョン 1.0