Amazon Linux 2023 : nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2024-594)
high Nessus プラグイン ID 194485
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2024-594 のアドバイザリに記載されている複数の脆弱性の影響を受けます。2024-06-19: CVE-2024-27982 はこのアドバイザリに追加されました。
注意: https://nodejs.org/en/blog/vulnerability/april-2024-security-releases/ (CVE-2024-27982)
攻撃者は、数個の HTTP/2 フレームを含んだ少量の HTTP/2 フレームパケットを送信することで、Node.js HTTP/2 サーバーを完全に利用不能にすることができます。リセット後に HTTP/2 CONTINUATION フレームのあるヘッダーがサーバーに送信され、TCP 接続がクライアントにより突然閉じられた場合、nghttp2 メモリに一部のデータを残すことが可能です。これにより、ヘッダーフレームの処理中 (およびメモリに保存中) に Http2Session デストラクターがトリガーされ、競合状態が発生します。(CVE-2024-27983)
nghttp2 は、ハイパーテキスト転送プロトコルバージョン 2 の C での実装です。バージョン 1.61.0 より前の nghttp2 ライブラリは、HPACK コンテキストの同期を保つためにストリームがリセットされた後でも、無制限の数の HTTP/2 CONTINUATION フレームを読み取り続けます。これにより、HPACK ストリームをデコードするための過剰な CPU 使用率が発生します。nghttp2 v1.61.0 は、ストリームごとに受け入れる CONTINUATION フレームの数を制限することで、この脆弱性を緩和しています。
この脆弱性には回避策がありません。(CVE-2024-28182)
Undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。攻撃者は 「fetch()」に渡される「integrity」オプションを変更することができ、その結果「fetch()」が改ざんされていても有効なリクエストとして受け入れられる可能性があります。この脆弱性は、バージョン 5.28.4 および 6.11.1 でパッチされました。(CVE-2024-30261)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「dnf update nodejs20 --releasever 2023.4.20240429」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com/AL2023/ALAS-2024-594.html
https://alas.aws.amazon.com/faqs.html
https://alas.aws.amazon.com/cve/html/CVE-2024-27982.html
https://alas.aws.amazon.com/cve/html/CVE-2024-27983.html
プラグインの詳細
深刻度: High
ID: 194485
ファイル名: al2023_ALAS2023-2024-594.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
公開日: 2024/4/29
更新日: 2024/6/24
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.0
CVSS v2
リスクファクター: Medium
基本値: 6.4
現状値: 4.7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N
CVSS スコアのソース: CVE-2024-27982
CVSS v3
リスクファクター: High
基本値: 8.2
現状値: 7.1
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS スコアのソース: CVE-2024-27983
脆弱性情報
CPE: p-cpe:/a:amazon:linux:v8-11.3-devel, p-cpe:/a:amazon:linux:nodejs20-debugsource, p-cpe:/a:amazon:linux:nodejs20-devel, p-cpe:/a:amazon:linux:nodejs20, p-cpe:/a:amazon:linux:nodejs20-npm, p-cpe:/a:amazon:linux:nodejs20-libs, p-cpe:/a:amazon:linux:nodejs20-debuginfo, p-cpe:/a:amazon:linux:nodejs20-full-i18n, p-cpe:/a:amazon:linux:nodejs20-libs-debuginfo, p-cpe:/a:amazon:linux:nodejs20-docs, cpe:/o:amazon:linux:2023
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2024/4/25
脆弱性公開日: 2024/4/3
参照情報
CVE: CVE-2024-27982, CVE-2024-27983, CVE-2024-28182, CVE-2024-30261