SUSE SLES15 / openSUSE 15 セキュリティ更新 : nodejs20 (SUSE-SU-2024:0643-1)
critical Nessus プラグイン ID 191130
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:0643-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。20.11.1 への更新:(セキュリティ更新)
* CVE-2024-21892:Linux 機能によるコードインジェクションと権限昇格(bsc#1219992)。
* CVE-2024-22019:http:無限チャンク拡張のある未処理の HTTP リクエストを読み取ることで、DoS 攻撃が可能になります(bsc#1219993)。
* CVE-2024-21896:モンキーパッチングによるパストラバーサル バッファ内部(bsc#1219994).j
* CVE-2024-22017:io_uringのために、setuid() はすべての権限をドロップしません(bsc#1219995)。
* CVE-2023-46809:Node.js は Marvin 攻撃( PKCS#1 v1.5 パディングに対する Bleichenbacher 攻撃のタイミング変種)に対して脆弱です(bsc#1219997)。
* CVE-2024-21891:不適切なパストラバーサルシーケンスのサニタイズによる複数の権限モデルのバイパス(bsc#1219998)。
* CVE-2024-21890: --allow-fs-read および --allow-fs-write でのワイルドカードの不適切な処理(bsc#1219999)。
* CVE-2024-22025:fetch() brotli デコーディングにおけるリソース枯渇によるサービス拒否(bsc#1220014)。
* CVE-2024-24758:undici バージョン 5.28.3 (bsc#1220017)。
* CVE-2024-24806:libuv バージョン 1.48.0 (bsc#1219724)。
20.11.0 に更新:
* esm:import.meta.dirname および import.meta.filename を追加
* fs:writeFileSync utf8 に C++ ファストパスを追加
* module:useCustomLoadersIfPresent フラグを削除
* module:シャドウレルムのブートストラップモジュールローダー
* src: --disable-warning オプションを追加
* src:分離プロキシ env テンプレートごとに作成
* src:プロセスバインディングデータを弱くします
* stream:読み取り可能なバッファに配列を使用
* stream:作成を最適化
* test_runner:内蔵 lcov レポーターを追加
* test_runner:サポート対象の模擬 API に日付を追加
* test_runner、cli:フラグ --test-timeout を追加
20.10.0 に更新:
* モジュールのデフォルトを反転するためにフラグ--experimental-default-type
* 新しいフラグ --experimental-detect-module は、構文が検出される場合に ES モジュールを自動的に実行するために使用できます。
* fs.writeFile 関数のファイルシステム関数にフラッシュオプションを追加しました
* 実験的な WebSocket クライアントを追加しました
* vm:vm.Script の V8 コンパイルキャッシュサポートを修正。importModuleDynamically のサポートが vm.Script に追加された場合の v16.x 以降のパフォーマンス回帰をこれを修正します
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://bugzilla.suse.com/1219152
https://bugzilla.suse.com/1219724
https://bugzilla.suse.com/1219992
https://bugzilla.suse.com/1219993
https://bugzilla.suse.com/1219994
https://bugzilla.suse.com/1219995
https://bugzilla.suse.com/1219997
https://bugzilla.suse.com/1219998
https://bugzilla.suse.com/1219999
https://bugzilla.suse.com/1220014
https://bugzilla.suse.com/1220017
https://www.suse.com/security/cve/CVE-2023-46809
https://www.suse.com/security/cve/CVE-2024-21890
https://www.suse.com/security/cve/CVE-2024-21891
https://www.suse.com/security/cve/CVE-2024-21892
https://www.suse.com/security/cve/CVE-2024-21896
https://www.suse.com/security/cve/CVE-2024-22017
https://www.suse.com/security/cve/CVE-2024-22019
https://www.suse.com/security/cve/CVE-2024-22025
https://www.suse.com/security/cve/CVE-2024-24758
プラグインの詳細
深刻度: Critical
ID: 191130
ファイル名: suse_SU-2024-0643-1.nasl
バージョン: 1.4
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2024/2/29
更新日: 2026/6/26
サポートされているセンサー: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5
パーセンタイル: 94.59
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2024-21896
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:nodejs20, p-cpe:/a:novell:suse_linux:nodejs20-devel, p-cpe:/a:novell:suse_linux:nodejs20-docs, p-cpe:/a:novell:suse_linux:npm20
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2024/2/28
脆弱性公開日: 2024/2/7
参照情報
CVE: CVE-2023-46809, CVE-2024-21890, CVE-2024-21891, CVE-2024-21892, CVE-2024-21896, CVE-2024-22017, CVE-2024-22019, CVE-2024-22025, CVE-2024-24758, CVE-2024-24806
SuSE: SUSE-SU-2024:0643-1