リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2023:0609-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 権限昇格の脆弱性が Node.js <19.6.1、<18.14.1、<16.19.1 および <14.21.3 に存在します。これにより、Node.js の実験的なアクセス許可 (https://nodejs.org/api/permissions.html) 機能をバイパスし、process.mainModule.require() を使用して非認証モジュールにアクセスすることができます。これは、--experimental-policy で実験的なアクセス許可オプションを有効にしたユーザーにのみ影響します。(CVE-2023-23918)

  - 暗号の脆弱性が Node.js <19.2.0, <18.14.1, <16.19.1, <14.21.3 に存在します。これにより、OpenSSL エラースタックを設定する可能性のある操作の後にそれがクリアされない場合がありました。これにより、後続の暗号操作中に誤検出エラーが発生し、同じスレッド上で発生する可能性があります。これを使用して、サービス拒否が引き起こされる可能性があります。(CVE-2023-23919)

  - Node.js <19.6.1、<18.14.1、<16.19.1、<14.21.3 には信頼できない検索パスの脆弱性が存在します。これにより、攻撃者が昇格した権限で実行しているときに ICU データを検索して読み込む可能性があります。
    (CVE-2023-23920)

  - undici は Node.js 用の HTTP/1.1 クライアントです。バージョン 2.0.0以降、バージョン 5.19.1より前の undici ライブラリは「host」HTTP ヘッダーを CRLF インジェクションの脆弱性から保護しません。この問題は、Undici v5.19.1 でパッチされています。回避策として、undici に渡す前に「headers.host」文字列をサニタイズしてください。
    (CVE-2023-23936)

  - undici は Node.js 用の HTTP/1.1 クライアントです。バージョン 5.19.1より前の「Headers.set()」および「Headers.append()」メソッドは、信頼できない値が関数に渡された場合の正規表現サービス拒否 (ReDoS) 攻撃に対して脆弱です。この原因は「headerValueNormalize()」ユーティリティ関数の中の値を正規化するために使用される非効率的な正規表現です。この脆弱性は v5.19.1 でパッチされました。既知の回避策はありません。(CVE-2023-24807)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLES12 セキュリティ更新プログラム: nodejs16 (SUSE-SU-2023:0609-1)

high Nessus プラグイン ID 172097

バージョン 1.4