リモートホストにインストールされている F5 Networks BIG-IP のバージョンは、16.1.6 / 17.1.2.2 / 17.5.0 より前です。したがって、K000137093 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    CVE-2018-7167 一部のパラメーターで Buffer.fill() または Buffer.alloc() を呼び出すと、ハングアップにつながり、サービス拒否が発生する可能性があります。この脆弱性に対処するために、Buffer.alloc() および Buffer.fill() の実装が更新され、このような場合にもハングせずゼロフィルになるようになりました。
    Node.js 6.x (LTS Boron)、8.x(LTS Carbon)、9.xのすべてのバージョンが脆弱です。Node.js 10.x (最新版) のすべてのバージョンに脆弱性はありません。CVE-2018-12115 6.14.4、8.11.4、10.9.0より前の Node.js のすべてのバージョンでは、UCS-2 エンコーディング (Node.js により [ucs2]、[ucs-2]、[utf16le] および [utf-16le] の名前で認識される) で使用されると、[Buffer#write()] が悪用され、単一 [バッファ] の境界外で書き込みが行われる可能性があります。バッファの最後から 2 番目の位置から始まる書き込みにより、書き込まれる入力バイトの最大長の計算エラーが発生します。CVE-2018-12116Node.js: Node.js 6.15.0 および 8.14.0 より前の全バージョン: HTTP リクエストの [パス] オプションに対して、サニタイズされていないユーザー提供の Unicode データを使用するように Node.js を誘導できる場合、データが提供される可能性があります。このデータ提供により、同じサーバーに対して 2 番目の予期しないユーザー定義の HTTP リクエストが引き起こされます。

Tenable は、前述の記述ブロックを F5 Networks BIG-IP セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

F5 Networks BIG-IP : Node.js の脆弱性 (K000137093)

high Nessus プラグイン ID 182423

バージョン 1.9