DebianDLA-3618-1: node-babel - LTS セキュリティ更新

high Nessus プラグイン ID 183490

Language:

概要

リモートの Debian ホストにセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 10 ホストには、dla-3618 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

- Babel は JavaScript を書き込むためのコンパイラです。バージョン 7.23.2 および 8.0.0-alpha.4 より前の [@babel/traverse]、および [babel-traverse] のすべてのバージョンで、[path.evaluate()] または [path.evaluateTruthy()] 内部の Babel メソッドに依存するプラグインを使用している場合、攻撃者によって特別に細工されたコードが、Babel を使用してコンパイルされると、コンパイル中に任意のコードが実行される可能性があります。影響を受けるプラグインとして知られているのは、次のケースです。[@babel/plugin-transform-runtime]。[babel/preset-env] で [useBuiltIns] オプションを使用。[babel-plugin-polyfill-corejs3]、[babel-plugin-polyfill-corejs2]、[babel-plugin-polyfill-es-shims]、[babel-plugin-polyfill-regenerator] などの [@babel/helper-define-polyfill-provider] に依存するポリフィルプロバイダープラグイン。[@babel/] 名前空間の他のプラグインは影響を受けませんが、サードパーティのプラグインは影響を受ける可能性があります。信頼できるコードのみをコンパイルするユーザーは影響を受けません。脆弱性は [@babel/[email protected]] および [@babel/[email protected]] で修正されました。[@babel/traverse] をアップグレードできず、上記の影響を受けるパッケージのいずれかを使用している場合は、影響を受ける次の [@babel/traverse] バージョンの脆弱なコードパスが発生しないようにするため、最新バージョンにアップグレードしてください。
[@babel/plugin-transform-runtime] v7.23.2、[@babel/preset-env] v7.23.2、[@babel/helper-define-polyfill-provider] v0.4.3、[babel-plugin-polyfill-corejs2] v0.4.6、[babel-plugin-polyfill-corejs3] v0.8.5、[babel-plugin-polyfill-es-shims] v0.10.0、[babel-plugin-polyfill-regenerator] v0.5.3。(CVE-2023-45133)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

node-babel パッケージをアップグレードしてください。

Debian 10 buster では、この問題はバージョン 6.26.0+dfsg-3+deb10u1 で修正されています。

参考資料

https://security-tracker.debian.org/tracker/source-package/node-babel

https://www.debian.org/lts/security/2023/dla-3618

https://security-tracker.debian.org/tracker/CVE-2023-45133

https://packages.debian.org/source/buster/node-babel

プラグインの詳細

深刻度: High

ID: 183490

ファイル名: debian_DLA-3618.nasl

バージョン: 1.2

タイプ: local

エージェント: unix

ファミリー: Debian Local Security Checks

公開日: 2023/10/20

更新日: 2023/10/25

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus

リスク情報

VPR

リスクファクター: High

スコア: 7.3

CVSS v2

リスクファクター: Medium

基本値: 6.8

現状値: 5

ベクトル: CVSS2#AV:L/AC:L/Au:S/C:C/I:C/A:C

CVSS スコアのソース: CVE-2023-45133

CVSS v3

リスクファクター: High

基本値: 8.8

現状値: 7.7

ベクトル: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:debian:debian_linux:node-babel-cli, p-cpe:/a:debian:debian_linux:node-babel-code-frame, p-cpe:/a:debian:debian_linux:node-babel-core, p-cpe:/a:debian:debian_linux:node-babel-generator, p-cpe:/a:debian:debian_linux:node-babel-helper-bindify-decorators, p-cpe:/a:debian:debian_linux:node-babel-helper-builder-binary-assignment-operator-visitor, p-cpe:/a:debian:debian_linux:node-babel-helper-builder-react-jsx, p-cpe:/a:debian:debian_linux:node-babel-helper-call-delegate, p-cpe:/a:debian:debian_linux:node-babel-helper-define-map, p-cpe:/a:debian:debian_linux:node-babel-helper-explode-assignable-expression, p-cpe:/a:debian:debian_linux:node-babel-helper-explode-class, p-cpe:/a:debian:debian_linux:node-babel-helper-function-name, p-cpe:/a:debian:debian_linux:node-babel-helper-get-function-arity, p-cpe:/a:debian:debian_linux:node-babel-helper-hoist-variables, p-cpe:/a:debian:debian_linux:node-babel-helper-optimise-call-expression, p-cpe:/a:debian:debian_linux:node-babel-helper-regex, p-cpe:/a:debian:debian_linux:node-babel-helper-remap-async-to-generator, p-cpe:/a:debian:debian_linux:node-babel-helper-replace-supers, p-cpe:/a:debian:debian_linux:node-babel-helpers, p-cpe:/a:debian:debian_linux:node-babel-messages, p-cpe:/a:debian:debian_linux:node-babel-plugin-external-helpers, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-async-functions, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-async-generators, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-class-constructor-call, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-class-properties, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-decorators, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-do-expressions, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-dynamic-import, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-exponentiation-operator, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-export-extensions, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-flow, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-function-bind, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-jsx, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-object-rest-spread, p-cpe:/a:debian:debian_linux:node-babel-plugin-syntax-trailing-function-commas, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-async-generator-functions, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-async-to-generator, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-class-constructor-call, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-class-properties, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-decorators, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-do-expressions, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-es3-member-expression-literals, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-es3-property-literals, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-exponentiation-operator, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-export-extensions, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-flow-strip-types, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-function-bind, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-jscript, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-object-rest-spread, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-proto-to-assign, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-react-display-name, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-react-jsx, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-react-jsx-self, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-react-jsx-source, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-regenerator, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-runtime, p-cpe:/a:debian:debian_linux:node-babel-plugin-transform-strict-mode, p-cpe:/a:debian:debian_linux:node-babel-polyfill, p-cpe:/a:debian:debian_linux:node-babel-preset-es2015, p-cpe:/a:debian:debian_linux:node-babel-preset-es2016, p-cpe:/a:debian:debian_linux:node-babel-preset-es2017, p-cpe:/a:debian:debian_linux:node-babel-preset-flow, p-cpe:/a:debian:debian_linux:node-babel-preset-latest, p-cpe:/a:debian:debian_linux:node-babel-preset-react, p-cpe:/a:debian:debian_linux:node-babel-preset-stage-0, p-cpe:/a:debian:debian_linux:node-babel-preset-stage-1, p-cpe:/a:debian:debian_linux:node-babel-preset-stage-2, p-cpe:/a:debian:debian_linux:node-babel-preset-stage-3, p-cpe:/a:debian:debian_linux:node-babel-register, p-cpe:/a:debian:debian_linux:node-babel-runtime, p-cpe:/a:debian:debian_linux:node-babel-template, p-cpe:/a:debian:debian_linux:node-babel-traverse, p-cpe:/a:debian:debian_linux:node-babel-types, cpe:/o:debian:debian_linux:10.0

必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

エクスプロイトの容易さ: No known exploits are available

パッチ公開日: 2023/10/19

脆弱性公開日: 2023/10/12

参照情報

CVE: CVE-2023-45133