Microsoft Visual Studio 製品2026 年 4 月

high Nessus プラグイン ID 307350

Language:

概要

Microsoft Visual Studio 製品は、サービス拒否の脆弱性の影響を受けます。

説明

Microsoft Visual Studio 製品にセキュリティ更新プログラムがありません。
したがって、サービス拒否の脆弱性の影響を受けます。

- Node.js の TLS エラー処理で、pskCallback または ALPNCallback が使用されている場合に、リモートの攻撃者が TLS サーバーのリソースをクラッシュさせたり、枯渇させたりする可能性があります。
これらのコールバック中にスローされる同期例外が、標準の TLS エラー処理パス (tlsClientError およびエラー) をバイパスします。これにより、プロセスが即座に終了するかまたはサイレントファイル記述子の漏洩が発生し、最終的にサービス拒否につながります。
これらのコールバックは TLS ハンドシェイク中に攻撃者が制御する入力を処理するため、リモートクライアントが繰り返し問題を引き起こす可能性があります。文書化された Visual Studio の更新プログラムには、この脆弱性に対処する Node.js の更新が組み込まれています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

Microsoft はこの問題を解決するために、以下のセキュリティ更新プログラムをリリースしています。
- Visual Studio 2019 用 16.11.55 への更新 16.11
- Visual Studio 2022 17.12 用の 17.12.19 への更新プログラム
- Visual Studio 2022 17.14 用の 17.14.30 への更新プログラム