リモートの Debian 10 ホストには、dla-3665 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - JSON5 は、一般的な JSON ファイルフォーマットへの拡張であり、手動での記述およびメンテナンスを容易にすることを目的としています (構成ファイルなど)。バージョン 1.0.1 以前および 2.2.1 以前の JSON5 ライブラリの「parse」メソッドは、「__ proto__」という名前のキーの解析を制限しないので、特別に細工された文字列が結果のオブジェクトのプロトタイプを汚染する可能性があります。この脆弱性は、「JSON5.parse」によって返されたオブジェクトのプロトタイプを汚染します (これは、プロトタイプ汚染の定義として一般に理解されている、グローバルなオブジェクトプロトタイプの汚染ではありません)。しかし、1 つしかオブジェクトのプロトタイプが汚染されないとしても、そのオブジェクトが後で信頼できる操作で使用される場合、アプリケーションに重大なセキュリティ上の影響を与える可能性があります。この脆弱性により、「JSON5.parse」から返されるオブジェクトに攻撃者が任意の予期しないキーを設定する可能性があります。実際の影響は、アプリケーションが返されたオブジェクトをどのように利用し不要なキーをどのようにフィルターするかによって異なりますが、サービス拒否、クロスサイトスクリプティング、権限の昇格、極端な場合にはリモートコードの実行が含まれる可能性があります。「JSON5.parse」は、JSON 文字列をオブジェクトに解析する際に「__ proto__」キーの解析を制限する必要があります。考慮したいのは、JavaScript に含まれている「JSON.parse」メソッドは「__proto__」キーを無視するという点です。上記の例で「JSON5.parse」を「JSON.parse」に変更するだけで、この脆弱性が緩和されます。この脆弱性については、json5 バージョン 1.0.2、2.2.2、およびそれ以降でパッチが提供されています。(CVE-2022-46175)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

DebianDLA-3665-1: node-json5 - LTS セキュリティ更新

high Nessus プラグイン ID 186281

バージョン 1.0