したがって、ALAS2023-2024-749 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Node.js で脆弱性が特定され、--allow-fs-read フラグが使用されると、実験的なアクセス許可モデルのユーザーに影響を与えます。この欠陥は、fs.lstat API を通じてファイル統計を制限できないという、不十分なアクセス許可モデルに起因しています。その結果、悪意のある攻撃者は、明示的な読み取りアクセス権がないファイルから統計情報を取得できる可能性があります。(CVE-2024-22018)

    Node.js のセキュリティの欠陥により、ネットワークインポート制限のバイパスが可能になります。ネットワーク以外のインポートをデータ URL に埋め込むことによって、攻撃者が任意のコードを実行し、システムのセキュリティを危険にさらす可能性があります。この脆弱性はさまざまなプラットフォームで検証されており、ネットワークインポートでデータ URL を禁止することで緩和されています。ネットワークインポート。この欠陥を悪用すると、ネットワークインポートセキュリティに違反し、開発者とサーバーにリスクをもたらす可能性があります。(CVE-2024-22020)

    node-tar は、Node.js 用の Tar です。バージョン 6.2.1 より前の node-tar には、フォルダー作成プロセスで作成されるサブフォルダーの数に制限がありません。多数のサブフォルダーを生成する攻撃者は、node-tar を実行しているシステムでメモリを消費し、内部に多くのサブフォルダーがあるパスを使用して Node.js クライアントを実行してから数秒以内にクラッシュする可能性さえあります。バージョン 6.2.1 では、深すぎるサブフォルダーでの抽出を防止することで、この問題を修正しています。(CVE-2024-28863)

    Node.js で脆弱性が特定され、--allow-fs-write フラグが使用されると、実験的なアクセス許可モデルのユーザーに影響を与えます。

    Node.js アクセス許可モデルはファイル記述子では動作しませんが、fs.fchown や fs.fchmod などの操作では、読み取り専用ファイル記述子を使用して、ファイルの所有者と権限を変更することができます。
    (CVE-2024-36137)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2024-749)

medium Nessus プラグイン ID 210001

バージョン 1.1