リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2023:0607-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 権限昇格の脆弱性が Node.js <19.6.1、<18.14.1、<16.19.1 および <14.21.3 に存在します。これにより、Node.js の実験的なアクセス許可 (https://nodejs.org/api/permissions.html) 機能をバイパスし、process.mainModule.require() を使用して非認証モジュールにアクセスすることができます。これは、--experimental-policy で実験的なアクセス許可オプションを有効にしたユーザーにのみ影響します。(CVE-2023-23918)

  - Node.js <19.6.1、<18.14.1、<16.19.1、<14.21.3 には信頼できない検索パスの脆弱性が存在します。これにより、攻撃者が昇格した権限で実行しているときに ICU データを検索して読み込む可能性があります。
    (CVE-2023-23920)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLES12 セキュリティ更新プログラム: nodejs14 (SUSE-SU-2023:0607-1)

high Nessus プラグイン ID 172101

バージョン 1.4