したがって、ALAS2023-2024-594 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    2024-06-19: CVE-2024-27982 はこのアドバイザリに追加されました。

    注意: https://nodejs.org/en/blog/vulnerability/april-2024-security-releases/ (CVE-2024-27982)

    攻撃者は、数個の HTTP/2 フレームを含んだ少量の HTTP/2 フレームパケットを送信することで、Node.js HTTP/2 サーバーを完全に利用不能にすることができます。リセット後に HTTP/2 CONTINUATION フレームのあるヘッダーがサーバーに送信され、TCP 接続がクライアントにより突然閉じられた場合、nghttp2 メモリに一部のデータを残すことが可能です。これにより、ヘッダーフレームの処理中 (およびメモリに保存中) に Http2Session デストラクターがトリガーされ、競合状態が発生します。(CVE-2024-27983)

    nghttp2 は、ハイパーテキスト転送プロトコルバージョン 2 の C での実装です。バージョン 1.61.0 より前の nghttp2 ライブラリは、HPACK コンテキストの同期を保つためにストリームがリセットされた後でも、無制限の数の HTTP/2 CONTINUATION フレームを読み取り続けます。これにより、HPACK ストリームをデコードするための過剰な CPU 使用率が発生します。nghttp2 v1.61.0 は、ストリームごとに受け入れる CONTINUATION フレームの数を制限することで、この脆弱性を緩和しています。
    この脆弱性には回避策がありません。(CVE-2024-28182)

    Undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。攻撃者は 「fetch()」に渡される「integrity」オプションを変更することができ、その結果「fetch()」が改ざんされていても有効なリクエストとして受け入れられる可能性があります。この脆弱性は、バージョン 5.28.4 および 6.11.1 でパッチされました。(CVE-2024-30261)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2024-594)

high Nessus プラグイン ID 194485

バージョン 1.1

バージョン 1.0

バージョン 1.1 Jun 25, 2024, 3:40 AM CVE (set "CVE" coverage to "CVE-2024-27982,CVE-2024-27983,CVE-2024-28182,CVE-2024-30261") CVSS metrics ("CVSSv2 score" set to 6.4) CVSS metrics ("CVSSv2 vector" set to "CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:N") CVSSv2 score source (changed from "CVE-2024-30261" to "CVE-2024-27982") CVSSv2 severity (based on CVE-2024-27982, severity increased from "Low" to "Medium") Plugin metadata Plugin Feed: 202406250340
バージョン 1.0 Apr 30, 2024, 4:27 AM New Plugin Feed: 202404300427