リモートホストにインストールされている Node.js のバージョンは、18.20.4、20.15.1、22.4.1より前のものです。したがって、2024 年 7 月 8 日のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - CVE-2024-27980 は、BatBadBut の脆弱性の不完全な修正として識別されました。この脆弱性は、child_process.spawn / child_process.spawnSync を介した、Windows 上の考えられるすべての拡張子のバッチファイルが不適切に処理されると発生します。シェルオプションが有効でなくても、悪意のあるコマンドライン引数が任意のコマンドを注入してコードを実行する可能性があります。この脆弱性は、Windows のすべてのアクティブなリリースラインの child_process.spawn と child_process.spawnSync のすべてのユーザーに影響します。
    この脆弱性を報告してくれた tianst 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。
    (CVE-2024-27980)

  - Node.js のセキュリティの欠陥により、ネットワークインポート制限のバイパスが可能になります。ネットワーク以外のインポートをデータ URL に埋め込むことによって、攻撃者が任意のコードを実行し、システムのセキュリティを危険にさらす可能性があります。この脆弱性はさまざまなプラットフォームで検証されており、ネットワークインポートでデータ URL を禁止することで緩和されています。この欠陥を悪用すると、ネットワークインポートセキュリティに違反し、開発者とサーバーにリスクをもたらす可能性があります。この脆弱性を報告してくれた dittyroma 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2024-22020)

  - Node.js で脆弱性が特定され、--allow-fs-write フラグが使用されると、実験的なアクセス許可モデルのユーザーに影響を与えます。Node.js アクセス許可モデルはファイル記述子では動作しませんが、fs.fchown や fs.fchmod などの操作では、読み取り専用ファイル記述子を使用して、ファイルの所有者と権限を変更することができます。この脆弱性は、Node.js 20 および Node.js 22 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。この脆弱性を報告してくれた 4xpl0r3r 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2024-36137)

  - Node.js で脆弱性が特定され、--allow-fs-read フラグが使用されると、実験的なアクセス許可モデルのユーザーに影響を与えます。この欠陥は、fs.lstat API を通じてファイル統計を制限できないという、不十分なアクセス許可モデルに起因しています。その結果、悪意のある攻撃者は、明示的な読み取りアクセス権がないファイルから統計情報を取得できる可能性があります。この脆弱性は、Node.js 20 および Node.js 22 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。この脆弱性を報告してくれた haxatron1 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2024-22018)

  - アクセス許可モデルは、2 つのバックスラッシュ「\」で始まるパスには無視できる 4 文字のプレフィックスがあると想定していますが、これは必ずしもそうなるとは限りません。この小さなバグが脆弱なエッジケースにつながります。この脆弱性は、バージョン v22.x および v20.x の Node.js アクセス許可モデルの Windows ユーザーに影響を与えます。影響:
    この脆弱性を報告してくれた tniessen 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。
    (CVE-2024-37372)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 8 ホストに、ELSA-2024-5814 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    nodejs [1:20.16.0-1]
    - 20.16.0 への更新を修正します: CVE-2024-36137 CVE-2024-22018 CVE-2024-22020

    nodejs-nodemon nodejs-packaging

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 9 ホストに、ELSA-2024-5815アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    nodejs [1:20.16.0-1]
    - 20.16.0 への更新を修正します: CVE-2024-36137 CVE-2024-22018 CVE-2024-22020

    nodejs-nodemon nodejs-packaging

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/ SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:2574-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    20.15.1 に更新: 

    - CVE-2024-36138: CVE-2024-27980 修正バイパスを修正 (bsc#1227560)
    - CVE-2024-22020: データ URL によるネットワークインポート制限のバイパスを修正 (bsc#1227554)
    - CVE-2024-22018: fs.lstat がアクセス許可モデルをバイパスすることを修正 (bsc#1227562)
    - CVE-2024-36137: fs.fchown/fchmod がアクセス許可モデルをバイパスすることを修正 (bsc#1227561)
    - CVE-2024-37372: UNC パスを不適切に処理するアクセス許可モデルを修正 (bsc#1227563)

    20.15.0 での変更: 

    - test_runner: テスト計画をサポート
    - inspector: --inspect-wait フラグを導入
    - zlib: zlib.crc32() を公開
    - cli: --disable-wasm-trap-handler により、制限された vmem での wasm の実行を許可

    20.14.0の変更点

    - src,permission: 非同期 API で async エラーをスロー
    - test_runner: 強制終了をサポート

    20.13.1 での変更: 

    - buffer: base64 および base64url のパフォーマンスを改善
    - crypto: 暗黙的に短縮された GCM タグを廃止
    - events,doc: CustomEvent を安定版としてマーク
    - fs: fs/promises にスタックトレースを追加
    - report: --report-exclude-network オプションを追加
    - src: uv_get_available_memory をレポートおよび処理に追加
    - stream: 型付き配列をサポート
    - util: util.styleText でフォーマットの配列をサポート
    - v8: メモリリーク回帰テストのために v8.queryObjects() を実装
    - watch: 安定版としてマーク

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/ SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2024:2543-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    20.15.1 に更新: 

    - CVE-2024-36138: CVE-2024-27980 修正バイパスを修正 (bsc#1227560)
    - CVE-2024-22020: データ URL によるネットワークインポート制限のバイパスを修正 (bsc#1227554)
    - CVE-2024-22018: fs.lstat が権限モデルをバイパスすることを修正 (bsc#1227562)
    - CVE-2024-36137: fs.fchown/fchmod が権限モデルをバイパスすることを修正 (bsc#1227561)
    - CVE-2024-37372: UNC パスを不適切に処理する権限モデルを修正 (bsc#1227563)

    20.15.0 での変更: 

    - test_runner: テスト計画をサポート
    - inspector: --inspect-wait フラグを導入
    - zlib: zlib.crc32() を公開
    - cli: --disable-wasm-trap-handler により、制限された vmem での wasm の実行を許可

    20.14.0の変更点

    - src,permission: 非同期 API で async エラーをスロー
    - test_runner: 強制終了をサポート

    20.13.1 での変更: 

    - buffer: base64 および base64url のパフォーマンスを改善
    - crypto: 暗黙的に短縮された GCM タグを廃止
    - events,doc: CustomEvent を安定版としてマーク
    - fs: fs/promises にスタックトレースを追加
    - report: --report-exclude-network オプションを追加
    - src: uv_get_available_memory をレポートおよび処理に追加
    - stream: 型付き配列をサポート
    - util: util.styleText でフォーマットの配列をサポート
    - v8: メモリリーク回帰テストのために v8.queryObjects() を実装
    - watch: 安定版としてマーク

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
201969	Node.js 18.x< 18.20.4/ 20.x< 20.15.1/ 22.x< 22.4.1複数の脆弱性 (2024 年 7 月 8 日月曜日のセキュリティリリース)。	Nessus	Misc.	2024/7/8	2024/7/12	critical
206219	Oracle Linux 8 : nodejs:20 (ELSA-2024-5814)	Nessus	Oracle Linux Local Security Checks	2024/8/26	2024/8/26	medium
206227	Oracle Linux 9 : nodejs:20 (ELSA-2024-5815)	Nessus	Oracle Linux Local Security Checks	2024/8/27	2024/8/27	medium
203010	SUSE SLES15 / openSUSE 15 セキュリティ更新 : nodejs20 (SUSE-SU-2024:2574-1)	Nessus	SuSE Local Security Checks	2024/7/23	2024/9/9	high
202587	SUSE SLES15 / openSUSE 15 セキュリティ更新 : nodejs20 (SUSE-SU-2024:2543-1)	Nessus	SuSE Local Security Checks	2024/7/18	2024/9/9	high

検出

プラグインの検索

critical

medium

medium

high

high