Node.js による報告：

更新は、すべてのアクティブなNode.jsリリースラインで利用可能になりました。Node.jsのセキュリティ欠陥の修正に加えて、重要度中のセキュリティ脆弱性の修正を含むOpenSSL 1.0.2rへのNode.js 6および8のアップグレードも含まれます。

これらのリリースでは、最初の発表で言及された入力の誤解（CWE-115）の欠陥の修正を保留することが決定されました。この欠陥の重要度は非常に低く、リリースできる状態にある完全で安定した修正はまだないと考えています。近い将来、代替のメカニズムを介してこの欠陥に対処することを検討しています。さらに、Node.js 6の変更に対して追加のCVEを導入しました。これをサービス拒否（CWE-400）の欠陥として分類することを決定しました。

Node.jsの全ユーザーは、早急に以下のバージョンにアップグレードすることを推奨します。OpenSSL：0バイトのレコードパディングオラクル（CVE-2019-1559）のOpenSSL 1.0.2rにはCVE-2019-1559の修正が含まれ、Node.jsのバージョン6および8のリリースのみに含まれています。Node.js 10および11は、欠陥が含まれていない新しいバージョンのOpenSSLを使用するため、この脆弱性の影響を受けません。

特定の状況下で、TLSサーバーは、無効なパディングのあるゼロバイトレコードを受信した場合と、無効なMACのあるゼロバイトレコードの場合とでは、クライアントに対して異なる応答を強制される可能性があります。
これは、データを復号するパディングオラクル攻撃の基盤として使用されます。

悪用される可能性があるのは、特定の条件で実行される特定の暗号スイートを使用するTLS接続のみです。現在、Node.jsでOpenSSLを使用することでこの脆弱性が露呈するかどうかを判断することはできません。弊社では慎重なアプローチをとっており、ユーザーにも同じことを推奨しています。詳細については、アドバイザリおよびこの脆弱性の報告者による詳細な説明を参照してください。

nodejs6用のこの更新プログラムは、バージョン6.17.0に更新し、以下の問題を修正します。修正されたセキュリティ問題：

修正されたセキュリティ問題：

CVE-2019-5739：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127533）

CVE-2019-5737：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127532）

CVE-2019-1559：特定の状況下でTLSサーバーがクライアントに対して異なる応答をするように強制され、データの復号を引き起こす可能性がある0-byte Record Padding Oracleが修正されました。（bsc#1127080）

リリースノート： https://nodejs.org/en/blog/release/v6.17.0/

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

自己報告されたバージョン番号によると、リモートのJunos Spaceのバージョンは、19.2R1より前です。そのため、複数の脆弱性の影響を受けます。 -バージョン7.51.0より前の「curl_maprintf()」と呼ばれる32ビットの「size_t」変数を使用するシステムでは、安全ではない「size_t」乗算のために、libcurl API関数にメモリの二重解放の脆弱性があります。認証されていないリモートの攻撃者がこの脆弱性を悪用し、不正なアクションを実行する可能性があります。これによってさらなる攻撃が助長される可能性があります。（CVE-2016-8618）- HTTP キープアライブとHTTPS接続を非アクティブの状態で最大2分間開いたままにできるため、Node.js 6.16.0以前にはサービス拒否（DoS）の脆弱性があります。認証されていないリモートの攻撃者が、この問題を悪用して、サービス拒否を引き起こす可能性があります。（CVE-2016-8619）- 7.51.0より前のバージョンのcurlは、International Domain Names（IDNA）の処理に期限切れのIDNA 2003標準を使用するため、脆弱性があります。これにより、ユーザーが意図せずネットワーク転送リクエストを間違ったホストに発行してしまう可能性があります。（CVE-2016-8625）

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - HTTP および HTTPS のキープアライブ接続は、Node.js 6.16.0 およびそれ以前で、最大 2 分間開いたままになる可能性があります。Node.js 8.0.0 は、デフォルトで 5 秒に設定された専用の server.keepAliveTimeout を導入しました。Node.js 6.16.0 以前の動作は、サービス拒否DoS攻撃のベクトルの可能性があります。Node.js 6.17.0 server.keepAliveTimeout および 5 秒のデフォルトを導入します。CVE-2019-5739

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

このnodejs4の更新では、次の問題が修正されます：

修正されたセキュリティ問題：

CVE-2019-5739：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127533）

CVE-2019-5737：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127532）

CVE-2019-1559：特定の状況下でTLSサーバーがクライアントに対して異なる応答をするように強制され、データの復号を引き起こす可能性がある0-byte Record Padding Oracleが修正されました。（bsc#1127080）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このnodejs4の更新では、以下の問題が修正されます：

修正されたセキュリティ問題：

  - CVE-2019-5739：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127533）

  - CVE-2019-5737：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127532）

  - CVE-2019-1559：特定の状況下でTLSサーバーがクライアントに対して異なる応答をするように強制され、データの復号を引き起こす可能性がある0-byte Record Padding Oracleが修正されました。（bsc#1127080）。	 

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

nodejs6用のこの更新プログラムは、バージョン6.17.0に更新し、以下の問題が修正されています：

修正されたセキュリティ問題：

  - CVE-2019-5739：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127533）

  - CVE-2019-5737：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127532）

  - CVE-2019-1559：特定の状況下でTLSサーバーがクライアントに対して異なる応答をするように強制され、データの復号を引き起こす可能性がある0-byte Record Padding Oracleが修正されました。（bsc#1127080）

リリースノート： https://nodejs.org/en/blog/release/v6.17.0/ 

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
122571	FreeBSD：Node.js -- 複数の脆弱性（b71d7193-3c54-11e9-a3f9-00155d006b02）	Nessus	FreeBSD Local Security Checks	2019/3/4	2022/12/6	medium
123551	SUSE SLES12セキュリティ更新プログラム：nodejs6 (SUSE-SU-2019:0818-1)	Nessus	SuSE Local Security Checks	2019/4/1	2022/12/5	medium
131701	Juniper Junos Space < 19.2R1 複数の脆弱性（JSA10951）	Nessus	Junos Local Security Checks	2019/12/4	2024/4/5	critical
252431	Linux Distros のパッチ未適用の脆弱性: CVE-2019-5739	Nessus	Misc.	2025/8/20	2025/8/20	high
122999	SUSE SLES12セキュリティ更新プログラム：nodejs4 (SUSE-SU-2019:0658-1)	Nessus	SuSE Local Security Checks	2019/3/21	2022/12/5	medium
123495	openSUSEセキュリティ更新プログラム：nodejs4 (openSUSE-2019-1076)	Nessus	SuSE Local Security Checks	2019/3/29	2022/12/5	medium
123919	openSUSEセキュリティ更新プログラム：nodejs6 (openSUSE-2019-1173)	Nessus	SuSE Local Security Checks	2019/4/9	2022/12/5	medium

検出

プラグインの検索

medium

medium

critical

high

medium

medium

medium