リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:0643-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    20.11.1 への更新:(セキュリティ更新)

    * CVE-2024-21892:Linux 機能によるコードインジェクションと権限昇格(bsc#1219992)。
    * CVE-2024-22019:http:無限チャンク拡張のある未処理の HTTP リクエストを読み取ることで、DoS 攻撃が可能になります(bsc#1219993)。
    * CVE-2024-21896:モンキーパッチングによるパストラバーサル バッファ内部(bsc#1219994).j
    * CVE-2024-22017:io_uringのために、setuid() はすべての権限をドロップしません(bsc#1219995)。
    * CVE-2023-46809:Node.js は Marvin 攻撃( PKCS#1 v1.5 パディングに対する Bleichenbacher 攻撃のタイミング変種)に対して脆弱です(bsc#1219997)。
    * CVE-2024-21891:不適切なパストラバーサルシーケンスのサニタイズによる複数の権限モデルのバイパス(bsc#1219998)。
    * CVE-2024-21890: --allow-fs-read および --allow-fs-write でのワイルドカードの不適切な処理(bsc#1219999)。
    * CVE-2024-22025:fetch() brotli デコーディングにおけるリソース枯渇によるサービス拒否(bsc#1220014)。
    * CVE-2024-24758:undici バージョン 5.28.3 (bsc#1220017)。
    * CVE-2024-24806:libuv バージョン 1.48.0 (bsc#1219724)。

    20.11.0 に更新:

    * esm:import.meta.dirname および import.meta.filename を追加
    * fs:writeFileSync utf8 に C++ ファストパスを追加
    * module:useCustomLoadersIfPresent フラグを削除
    * module:シャドウレルムのブートストラップモジュールローダー
    * src: --disable-warning オプションを追加
    * src:分離プロキシ env テンプレートごとに作成
    * src:プロセスバインディングデータを弱くします
    * stream:読み取り可能なバッファに配列を使用
    * stream:作成を最適化
    * test_runner:内蔵 lcov レポーターを追加
    * test_runner:サポート対象の模擬 API に日付を追加
    * test_runner、cli:フラグ --test-timeout を追加

    20.10.0 に更新:

    * モジュールのデフォルトを反転するためにフラグ--experimental-default-type
    * 新しいフラグ --experimental-detect-module は、構文が検出される場合に ES モジュールを自動的に実行するために使用できます。
    * fs.writeFile 関数のファイルシステム関数にフラッシュオプションを追加しました
    * 実験的な WebSocket クライアントを追加しました
    * vm:vm.Script の V8 コンパイルキャッシュサポートを修正。importModuleDynamically のサポートが vm.Script に追加された場合の v16.x 以降のパフォーマンス回帰をこれを修正します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES15 / openSUSE 15 セキュリティ更新 : nodejs20 (SUSE-SU-2024:0643-1)

critical Nessus プラグイン ID 191130

バージョン 1.4