リモートの SUSE Linux SLES15/ SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:2543-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    20.15.1 に更新: 

    - CVE-2024-36138: CVE-2024-27980 修正バイパスを修正 (bsc#1227560)
    - CVE-2024-22020: データ URL によるネットワークインポート制限のバイパスを修正 (bsc#1227554)
    - CVE-2024-22018: fs.lstat が権限モデルをバイパスすることを修正 (bsc#1227562)
    - CVE-2024-36137: fs.fchown/fchmod が権限モデルをバイパスすることを修正 (bsc#1227561)
    - CVE-2024-37372: UNC パスを不適切に処理する権限モデルを修正 (bsc#1227563)

    20.15.0 での変更: 

    - test_runner: テスト計画をサポート
    - inspector: --inspect-wait フラグを導入
    - zlib: zlib.crc32() を公開
    - cli: --disable-wasm-trap-handler により、制限された vmem での wasm の実行を許可

    20.14.0の変更点

    - src,permission: 非同期 API で async エラーをスロー
    - test_runner: 強制終了をサポート

    20.13.1 での変更: 

    - buffer: base64 および base64url のパフォーマンスを改善
    - crypto: 暗黙的に短縮された GCM タグを廃止
    - events,doc: CustomEvent を安定版としてマーク
    - fs: fs/promises にスタックトレースを追加
    - report: --report-exclude-network オプションを追加
    - src: uv_get_available_memory をレポートおよび処理に追加
    - stream: 型付き配列をサポート
    - util: util.styleText でフォーマットの配列をサポート
    - v8: メモリリーク回帰テストのために v8.queryObjects() を実装
    - watch: 安定版としてマーク

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 39 ホストには、FEDORA-2024-8d548b8c96 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - child_process.spawn / child_process.spawnSync のバッチファイルの不適切な処理により、シェルオプションが有効でなくても、悪意のあるコマンドライン引数が任意のコマンドを注入してコードを実行する可能性があります。この脆弱性を報告してくれた ryotak 氏に、および修正してくれた Ben Noordhuis 氏に感謝の意を表します。まとめ: Node.js プロジェクトは、以下に対処するために、2024 年 4 月 9 日火曜日かその直後に、18.x、20.x、21.x リリースラインの新しいバージョンをリリースします。(CVE-2024-27980)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/ SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:2574-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    20.15.1 に更新: 

    - CVE-2024-36138: CVE-2024-27980 修正バイパスを修正 (bsc#1227560)
    - CVE-2024-22020: データ URL によるネットワークインポート制限のバイパスを修正 (bsc#1227554)
    - CVE-2024-22018: fs.lstat がアクセス許可モデルをバイパスすることを修正 (bsc#1227562)
    - CVE-2024-36137: fs.fchown/fchmod がアクセス許可モデルをバイパスすることを修正 (bsc#1227561)
    - CVE-2024-37372: UNC パスを不適切に処理するアクセス許可モデルを修正 (bsc#1227563)

    20.15.0 での変更: 

    - test_runner: テスト計画をサポート
    - inspector: --inspect-wait フラグを導入
    - zlib: zlib.crc32() を公開
    - cli: --disable-wasm-trap-handler により、制限された vmem での wasm の実行を許可

    20.14.0の変更点

    - src,permission: 非同期 API で async エラーをスロー
    - test_runner: 強制終了をサポート

    20.13.1 での変更: 

    - buffer: base64 および base64url のパフォーマンスを改善
    - crypto: 暗黙的に短縮された GCM タグを廃止
    - events,doc: CustomEvent を安定版としてマーク
    - fs: fs/promises にスタックトレースを追加
    - report: --report-exclude-network オプションを追加
    - src: uv_get_available_memory をレポートおよび処理に追加
    - stream: 型付き配列をサポート
    - util: util.styleText でフォーマットの配列をサポート
    - v8: メモリリーク回帰テストのために v8.queryObjects() を実装
    - watch: 安定版としてマーク

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2024:2496-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    18.20.4 に更新: 

    - CVE-2024-36138: CVE-2024-27980 修正バイパスを修正 (bsc#1227560)
    - CVE-2024-22020: データ URL によるネットワークインポート制限のバイパスを修正 (bsc#1227554)

    18.20.3 での変更：

    - このリリースは、http.server.close() がアイドル状態の接続を不適切に閉じていた、Node.js 18.19.0 に導入された回帰を修正します。
      deps：
      - acorn は 8.11.3 に更新されました。
      - acorn-walk は 8.3.2 に更新されました。
      - ada は 2.7.8 に更新されました。
      - c-ares は 1.28.1 に更新されました。
      - corepack は 0.28.0 に更新されました。
      - nghttp2 は 1.61.0 に更新されました。
      - ngtcp2 は 1.3.0 に更新されました。
      - npm は 10.7.0 に更新されました。npm/cli#7324 のオープン接続数を制限するための npm@10.5.1 からの修正を含みます。
      - simdutf は 5.2.4 に更新されました。

    18.20.2 での変更：

    - CVE-2024-27980: Windows でシェルオプションを有効にせずに child_process.spawn の args パラメーターを介したコマンドインジェクションを修正 (bsc#1222665)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/ SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:2542-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    18.20.4 に更新: 

    - CVE-2024-36138: CVE-2024-27980 修正バイパスを修正 (bsc#1227560)
    - CVE-2024-22020: データ URL によるネットワークインポート制限のバイパスを修正 (bsc#1227554)

    18.20.3 での変更: 

    - このリリースは、http.server.close() がアイドル状態の接続を不適切に閉じていた、Node.js 18.19.0 に導入された回帰を修正します。
      deps: 
      - acorn は 8.11.3 に更新されました。
      - acorn-walk は 8.3.2 に更新されました。
      - ada は 2.7.8 に更新されました。
      - c-ares は 1.28.1 に更新されました。
      - corepack は 0.28.0 に更新されました。
      - nghttp2 は 1.61.0 に更新されました。
      - ngtcp2 は 1.3.0 に更新されました。
      - npm は 10.7.0 に更新されました。npm/cli#7324 のオープン接続数を制限するための npm@10.5.1 からの修正を含みます。
      - simdutf は 5.2.4 に更新されました。

    18.20.2 での変更: 

    - CVE-2024-27980: Windows でシェルオプションを有効にせずに child_process.spawn の args パラメーターを介したコマンドインジェクションを修正 (bsc#1222665)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Node.js のバージョンは、18.20.4、20.15.1、22.4.1より前のものです。したがって、2024 年 7 月 8 日のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - CVE-2024-27980 は、BatBadBut の脆弱性の不完全な修正として識別されました。この脆弱性は、child_process.spawn / child_process.spawnSync を介した、Windows 上の考えられるすべての拡張子のバッチファイルが不適切に処理されると発生します。シェルオプションが有効でなくても、悪意のあるコマンドライン引数が任意のコマンドを注入してコードを実行する可能性があります。この脆弱性は、Windows のすべてのアクティブなリリースラインの child_process.spawn と child_process.spawnSync のすべてのユーザーに影響します。
    この脆弱性を報告してくれた tianst 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。
    (CVE-2024-27980)

  - Node.js のセキュリティの欠陥により、ネットワークインポート制限のバイパスが可能になります。ネットワーク以外のインポートをデータ URL に埋め込むことによって、攻撃者が任意のコードを実行し、システムのセキュリティを危険にさらす可能性があります。この脆弱性はさまざまなプラットフォームで検証されており、ネットワークインポートでデータ URL を禁止することで緩和されています。この欠陥を悪用すると、ネットワークインポートセキュリティに違反し、開発者とサーバーにリスクをもたらす可能性があります。この脆弱性を報告してくれた dittyroma 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2024-22020)

  - Node.js で脆弱性が特定され、--allow-fs-write フラグが使用されると、実験的なアクセス許可モデルのユーザーに影響を与えます。Node.js アクセス許可モデルはファイル記述子では動作しませんが、fs.fchown や fs.fchmod などの操作では、読み取り専用ファイル記述子を使用して、ファイルの所有者と権限を変更することができます。この脆弱性は、Node.js 20 および Node.js 22 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。この脆弱性を報告してくれた 4xpl0r3r 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2024-36137)

  - Node.js で脆弱性が特定され、--allow-fs-read フラグが使用されると、実験的なアクセス許可モデルのユーザーに影響を与えます。この欠陥は、fs.lstat API を通じてファイル統計を制限できないという、不十分なアクセス許可モデルに起因しています。その結果、悪意のある攻撃者は、明示的な読み取りアクセス権がないファイルから統計情報を取得できる可能性があります。この脆弱性は、Node.js 20 および Node.js 22 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。この脆弱性を報告してくれた haxatron1 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2024-22018)

  - アクセス許可モデルは、2 つのバックスラッシュ「\」で始まるパスには無視できる 4 文字のプレフィックスがあると想定していますが、これは必ずしもそうなるとは限りません。この小さなバグが脆弱なエッジケースにつながります。この脆弱性は、バージョン v22.x および v20.x の Node.js アクセス許可モデルの Windows ユーザーに影響を与えます。影響:
    この脆弱性を報告してくれた tniessen 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。
    (CVE-2024-37372)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Node.js のバージョンは、18.20.2、20.12.2、21.7.3より前のものです。したがって、2024 年 4 月 10 日水曜日のセキュリティリリースのアドバイザリに記載されているとおり、コマンドインジェクションの脆弱性の影響を受けます。- child_process.spawn / child_process.spawnSync のバッチファイルの不適切な処理により、シェルオプションが有効でなくても、悪意のあるコマンドライン引数が任意のコマンドを注入してコードを実行する可能性があります。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 40 ホストには、FEDORA-2024-2c52524694 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - child_process.spawn / child_process.spawnSync のバッチファイルの不適切な処理により、シェルオプションが有効でなくても、悪意のあるコマンドライン引数が任意のコマンドを注入してコードを実行する可能性があります。この脆弱性を報告してくれた ryotak 氏に、および修正してくれた Ben Noordhuis 氏に感謝の意を表します。まとめ: Node.js プロジェクトは、以下に対処するために、2024 年 4 月 9 日火曜日かその直後に、18.x、20.x、21.x リリースラインの新しいバージョンをリリースします。(CVE-2024-27980)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
202587	SUSE SLES15 / openSUSE 15 セキュリティ更新 : nodejs20 (SUSE-SU-2024:2543-1)	Nessus	SuSE Local Security Checks	2024/7/18	2024/9/9	high
193642	Fedora 39 : nodejs18 (2024-8d548b8c96)	Nessus	Fedora Local Security Checks	2024/4/20	2025/1/9	high
203010	SUSE SLES15 / openSUSE 15 セキュリティ更新 : nodejs20 (SUSE-SU-2024:2574-1)	Nessus	SuSE Local Security Checks	2024/7/23	2024/9/9	high
202562	SUSE SLES12 セキュリティ更新 : nodejs18 (SUSE-SU-2024:2496-1)	Nessus	SuSE Local Security Checks	2024/7/17	2024/9/9	high
202586	SUSE SLES15 / openSUSE 15 セキュリティ更新 : nodejs18 (SUSE-SU-2024:2542-1)	Nessus	SuSE Local Security Checks	2024/7/18	2024/9/9	high
201969	Node.js 18.x< 18.20.4/ 20.x< 20.15.1/ 22.x< 22.4.1複数の脆弱性 (2024 年 7 月 8 日月曜日のセキュリティリリース)。	Nessus	Misc.	2024/7/8	2025/1/24	high
193573	Node.js 18.x < 18.20.2 / 20.x < 20.12.2 / 21.x < 21.7.3 コマンドインジェクションの脆弱性 (2024 年 4 月 10 日水曜日のセキュリティリリース)。	Nessus	Misc.	2024/4/19	2025/1/9	high
194541	Fedora 40 : nodejs18 (2024-2c52524694)	Nessus	Fedora Local Security Checks	2024/4/29	2025/1/9	high

検出

プラグインの検索

high

high

high

high

high

high

high

high