このnodejs4の更新では、次の問題が修正されます：

修正されたセキュリティ問題：

CVE-2019-5739：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127533）

CVE-2019-5737：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127532）

CVE-2019-1559：特定の状況下でTLSサーバーがクライアントに対して異なる応答をするように強制され、データの復号を引き起こす可能性がある0-byte Record Padding Oracleが修正されました。（bsc#1127080）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このnodejs4の更新では、以下の問題が修正されます：

修正されたセキュリティ問題：

  - CVE-2019-5739：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127533）

  - CVE-2019-5737：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127532）

  - CVE-2019-1559：特定の状況下でTLSサーバーがクライアントに対して異なる応答をするように強制され、データの復号を引き起こす可能性がある0-byte Record Padding Oracleが修正されました。（bsc#1127080）。	 

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

nodejs6用のこの更新プログラムは、バージョン6.17.0に更新し、以下の問題が修正されています：

修正されたセキュリティ問題：

  - CVE-2019-5739：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127533）

  - CVE-2019-5737：HTTP接続がアクティブのままになっているときに、サービス拒否を引き起こされる可能性のある攻撃ベクトルが修正されました。（bsc#1127532）

  - CVE-2019-1559：特定の状況下でTLSサーバーがクライアントに対して異なる応答をするように強制され、データの復号を引き起こす可能性がある0-byte Record Padding Oracleが修正されました。（bsc#1127080）

リリースノート： https://nodejs.org/en/blog/release/v6.17.0/ 

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

リモートのRocky Linux 8ホストには、RLSA-2019:2925アドバイザリに記載されているとおり、複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 6.17.0より前の 6.x、8.15.1 より前の 8.x、10.15.2 より前の 10.x、11.10.1 より前の 11.x を含む Node.js では、攻撃者が HTTP または HTTPS 接続をキープアライブモードで確立し、ヘッダーの送信を大幅に遅らせることによって、サービス拒否 (DoS) を引き起こす可能性があります。これにより、接続と関連するリソースが長期間有効のままにされます。ロードバランサーまたは他のプロキシレイヤーを使用することで、攻撃の可能性が緩和されます。
    この脆弱性は、CVE-2018-12121 の拡張であり、11 月に対処され、6.x より前の 6.17.0、8.x より前の  8.15.1、10.x より前の 10.15.2、11.x より前の 11.10.1 を含むすべてのすべてのアクティブな Node.js リリースラインに影響を与えます。 (CVE-2019-5737)

  - 一部の HTTP/2 実装は、ウィンドウサイズの操作やストリーム優先度の操作に対して脆弱であり、サービス拒否を引き起こす可能性があります。攻撃者が、複数のストリームにわたる指定されたリソースから大量のデータをリクエストします。彼らはウィンドウサイズとストリーム優先度を操作して、1バイトチャンクにデータをキューイングするようサーバーを強制します。このデータを効率的にキューに入れる方法によっては、CPU、メモリ、またはその両方が過剰に消費される可能性があります。(CVE-2019-9511)

  - 一部の HTTP/2 実装は、ping フラッドに対して脆弱であり、サービス拒否を引き起こす可能性があります。攻撃者は HTTP/2 ピアに継続的に ping を送信し、ピアに応答の内部キューを作成させます。このデータを効率的にキューに入れる方法によって、CPU、メモリ、またはその両方が過剰に消費される可能性があります。
    (CVE-2019-9512)

  - 一部の HTTP/2 実装は、リソースループに対して脆弱であり、サービス拒否を引き起こす可能性があります。
    攻撃者が複数のリクエストストリームを作成し、優先度ツリーが大幅に変更されるような方法でストリームの優先度を常に入れ替えます。これにより、CPU消費が過剰になります。（CVE-2019-9513）

  -一部のHTTP/2実装は、リセットフラッドに対して脆弱であり、サービス拒否を引き起こす可能性があります。
    攻撃者は多数のストリームを開き、各ストリームで、ピアからRST_STREAMフレームのストリームを要求する無効なリクエストを送信します。ピアがRST_STREAMフレームをキューに入れる方法によって、メモリ、CPU、またはその両方が過剰に消費される可能性があります。（CVE-2019-9514）

  - 一部の HTTP/2 実装は、settings フラッドに対して脆弱であり、サービス拒否を引き起こす可能性があります。攻撃者がSETTINGSフレームのストリームをピアに送信します。RFCは、ピアがSETTINGSフレームごとに1つのアクノレッジで応答することを要求するため、空のSETTINGSフレームは、動作においてはpingとほぼ同じです。このデータを効率的にキューに入れる方法によっては、CPU、メモリ、またはその両方が過剰に消費される可能性があります。(CVE-2019-9515)

  - 一部のHTTP/2実装は、ヘッダーリークに対して脆弱であり、サービス拒否を引き起こす可能性があります。
    攻撃者が、長さゼロのヘッダー名と長さゼロのヘッダー値を持つヘッダーのストリームと、場合によっては1バイト以上のヘッダーにコード化されたHuffmanを送信します。実装によっては、メモリをこれらのヘッダーに割り当て、セッションが終了するまでその割り当てを維持します。これにより、メモリが過剰に消費される可能性があります。CVE-2019-9516

  - 一部のHTTP/2実装は、制約のない内部データバッファリングに対して脆弱であり、サービス拒否を引き起こす可能性があります。攻撃者がHTTP/2ウィンドウを開いて、ピアが制約なしに送信できるようにします。
    しかし、TCPウィンドウが閉じたままのため、ピアは実際に（多くの）バイトを送信することができません。その後、攻撃者は大きな応答オブジェクトに対するリクエストのストリームを送信します。サーバーが応答をキューする方法によって、メモリ、CPU、またはその両方を過剰に消費する可能性があります。（CVE-2019-9517）

  - 一部の HTTP/2 実装は、サービス拒否につながる可能性のある空のフレームのフラッドに対して脆弱です。攻撃者が、空のペイロードがありかつストリームの終端フラグのないフレームのストリームを送信します。
    これらのフレームは、DATA、HEADERS、CONTINUATION、PUSH_PROMISEのいずれかです。ピアは、帯域幅を攻撃するために不均衡な各フレームの処理に時間を費やします。これにより、CPU消費が過剰になります。（CVE-2019-9518）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 16.04 ESM / 18.04 ESM ホストには、USN-4796-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 0.10.47 より前の Node.js 0.10.x、0.12.16 より前の 0.12.x、4.6.0 より前の 4.x、6.7.0 より前の 6.x  の tls.checkServerIdentity 関数は、X.509 証明書の名前フィールドでワイルドカードを適切に処理しないため、中間者攻撃者が細工された証明書を通じてサーバーを偽装する可能性があります。(CVE-2016-7099)

  - NAPTR応答の解析に使用されるc-ares関数ares_parse_naptr_reply()は、特別な方法で細工されたDNS応答パケットで渡される場合、指定された入力バッファの外部にあるメモリの読み取りが引き起こされる可能性があります。(CVE-2017-1000381)

  - 6.14.4、8.11.4、10.9.0 より前の Node.js のすべてのバージョンでは、UCS-2 エンコーディング (Node.js により [ucs2]、[ucs-2]、[utf16le] および [utf-16le] の名前で認識されるエンコーディング) で使用されると、[Buffer#write()] が悪用され、単一 [バッファ] の境界外で書き込みが行われる可能性があります。バッファの最後から 2 番目の位置から始まる書き込みにより、書き込まれる入力バイトの最大長の計算エラーが発生します。(CVE-2018-12115)

  - Node.js: Node.js 6.15.0、8.14.0 より前の全バージョン: HTTP リクエストの分割: HTTP リクエストの [パス] オプションに対して、サニタイズされていないユーザー提供の Unicode データを使用するように Node.js を誘導できる場合、データが提供される可能性があります。このデータ提供により、同じサーバーに対して 2 番目の予期しないユーザー定義の HTTP リクエストが引き起こされます。(CVE-2018-12116)

  - Node.js: Node.js 6.15.0、8.14.0、10.14.0、11.3.0 より前の全バージョン: Slowloris HTTP のサービス拒否: 攻撃者は、ヘッダーを非常にゆっくりと送信することで、HTTP または HTTPS の接続と関連するリソースを長期間維持することで、サービス拒否 (DoS) を引き起こす可能性があります。(CVE-2018-12122)

  - Node.js: Node.js 6.15.0、8.14.0、10.14.0、11.3.0 より前の全バージョン: javascript プロトコルの URL パーサーにおけるホスト名のなりすまし: Node.js アプリケーションが URL ホスト名を判断するために url.parse() を使用している場合、そのホスト名は大文字と小文字が混在する javascript: (例: javAscript: ) プロトコル (他のプロトコルは影響を受けない) を使用して、なりすましが行なわれる可能性があります。ホスト名に基づいて URL に関するセキュリティの決定が行われた場合、その決定は正しくない可能性があります。(CVE-2018-12123)

  - 6.x 以降のNode.js インスペクターは、リモートコードの実行を実行するために悪用される可能性があるDNS再バインド攻撃に脆弱です。同じコンピューター上のWebブラウザ、またはNode.jsプロセスを実行しているコンピューターへのネットワークアクセスがある別のコンピューターで開いている悪意のあるWebサイトから、攻撃が可能です。悪意のあるWebサイトがDNS再バインド攻撃を利用して、Webブラウザを騙して同一生成元ポリシーチェックをバイパスし、ローカルホストまたはローカルネットワーク上のホストへのHTTP接続を許可する可能性があります。デバッグポートがアクティブなNode.jsプロセスがローカルホストまたはローカルネットワーク上のホストで実行されている場合、悪意のあるWebサイトがデバッガとして接続し、完全なコード実行アクセス権を取得する可能性があります。(CVE-2018-7160)

  - 一部のパラメーターで Buffer.fill() または Buffer.alloc() を呼び出すと、ハングアップが発生し、サービス拒否が発生する可能性があります。この脆弱性に対処するために、Buffer.alloc() および Buffer.fill() の実装が更新され、このような場合にもハングせずゼロフィルになるようになりました。Node.js 6.x (LTS Boron)、8.x (LTS Carbon)、9.x のすべてのバージョンが脆弱です。Node.js 10.x (最新版) のすべてのバージョンに脆弱性はありません。(CVE-2018-7167)

  - 6.17.0より前の 6.x、8.15.1 より前の 8.x、10.15.2 より前の 10.x、11.10.1 より前の 11.x を含む Node.js では、攻撃者が HTTP または HTTPS 接続をキープアライブモードで確立し、ヘッダーの送信を大幅に遅らせることによって、サービス拒否 (DoS) を引き起こす可能性があります。これにより、接続と関連するリソースが長期間有効のままにされます。ロードバランサーまたは他のプロキシレイヤーを使用することで、攻撃の可能性が緩和されます。
    この脆弱性は、CVE-2018-12121 の拡張であり、11 月に対処され、6.x より前の 6.17.0、8.x より前の  8.15.1、10.x より前の 10.15.2、11.x より前の 11.10.1 を含むすべてのすべてのアクティブな Node.js リリースラインに影響を与えます。 (CVE-2019-5737)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
122999	SUSE SLES12セキュリティ更新プログラム：nodejs4 (SUSE-SU-2019:0658-1)	Nessus	SuSE Local Security Checks	2019/3/21	2022/12/5	medium
123495	openSUSEセキュリティ更新プログラム：nodejs4 (openSUSE-2019-1076)	Nessus	SuSE Local Security Checks	2019/3/29	2022/12/5	medium
123919	openSUSEセキュリティ更新プログラム：nodejs6 (openSUSE-2019-1173)	Nessus	SuSE Local Security Checks	2019/4/9	2022/12/5	medium
184969	Rocky Linux 8nodejs:10RLSA-2019:2925	Nessus	Rocky Linux Local Security Checks	2023/11/7	2023/12/20	high
183156	Ubuntu 16.04 ESM / 18.04 ESM : Node.js 脆弱性 (USN-4796-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2025/9/3	high

検出

プラグインの検索

medium

medium

medium

high

high