Fedora 38 : yarnpkg (2024-5ecc250449)

critical Nessus プラグイン ID 191079

Language:

概要

リモートの Fedora ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Fedora 38 ホストには、FEDORA-2024-5ecc250449 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- 正規表現のサービス拒否 (ReDoS) の欠陥が、interpolateName.js の resourcePath 変数を介して、webpack loader-utils 2.0.0 の interpolateName.js の Function interpolateName で見つかりました。
(CVE-2022-37599)

- 4.1.3 以前のパッケージ tough-cookie のバージョンは、rejectPublicSuffixes=false モードで CookieJar を使用する際にクッキーが不適切に処理されるため、プロトタイプ汚染に対して脆弱です。この問題は、オブジェクトが初期化される方法から発生します。(CVE-2023-26136)

- browserify-sign は、ノードの暗号公開鍵関数の機能を複製するためのパッケージで、その多くは indutny/tls.js での Fedor Indutny 氏の作業に基づいています。[dsaVerify] 関数における上限チェックの問題により、攻撃者は、任意の公開鍵で正常に検証できる署名を構築でき、署名偽造攻撃を引き起こす可能性があります。ユーザー入力署名の DSA 検証を含む、このプロジェクトのすべての場所が、この脆弱性の影響を受けます。この問題には、バージョン 4.2.2でパッチが適用されています。(CVE-2023-46234)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。