リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:0608-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 権限昇格の脆弱性が Node.js <19.6.1、<18.14.1、<16.19.1 および <14.21.3 に存在します。これにより、Node.js の実験的なアクセス許可 (https://nodejs.org/api/permissions.html) 機能をバイパスし、process.mainModule.require() を使用して非認証モジュールにアクセスすることができます。これは、--experimental-policy で実験的なアクセス許可オプションを有効にしたユーザーにのみ影響します。(CVE-2023-23918)

  - 暗号の脆弱性が Node.js <19.2.0, <18.14.1, <16.19.1, <14.21.3 に存在します。これにより、OpenSSL エラースタックを設定する可能性のある操作の後にそれがクリアされない場合がありました。これにより、後続の暗号操作中に誤検出エラーが発生し、同じスレッド上で発生する可能性があります。これを使用して、サービス拒否が引き起こされる可能性があります。(CVE-2023-23919)

  - Node.js <19.6.1、<18.14.1、<16.19.1、<14.21.3 には信頼できない検索パスの脆弱性が存在します。これにより、攻撃者が昇格した権限で実行しているときに ICU データを検索して読み込む可能性があります。
    (CVE-2023-23920)

  - undici は Node.js 用の HTTP/1.1 クライアントです。バージョン 2.0.0以降、バージョン 5.19.1より前の undici ライブラリは「host」HTTP ヘッダーを CRLF インジェクションの脆弱性から保護しません。この問題は、Undici v5.19.1 でパッチされています。回避策として、undici に渡す前に「headers.host」文字列をサニタイズしてください。
    (CVE-2023-23936)

  - undici は Node.js 用の HTTP/1.1 クライアントです。バージョン 5.19.1より前の「Headers.set()」および「Headers.append()」メソッドは、信頼できない値が関数に渡された場合の正規表現サービス拒否 (ReDoS) 攻撃に対して脆弱です。この原因は「headerValueNormalize()」ユーティリティ関数の中の値を正規化するために使用される非効率的な正規表現です。この脆弱性は v5.19.1 でパッチされました。既知の回避策はありません。(CVE-2023-24807)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2023:1583 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - glob-parent: 正規表現のサービス拒否 (CVE-2021-35065)

  - http-cache-semantics: 正規表現のサービス拒否 (ReDoS) の脆弱性 (CVE-2022-25881)

  - Node.js: 権限ポリシーは、process.mainModule を介してバイパスされる可能性があります (CVE-2023-23918)

  - Node.js: nodejs 暗号ライブラリの OpenSSL エラー処理の問題 (CVE-2023-23919)

  - Node.js: ICU_DATA 環境変数による ICU データの安全でない読み込み (CVE-2023-23920)

  - Node.js: Fetch API は、ホストヘッダーの CRLF インジェクションから保護していませんでした (CVE-2023-23936)

  - Node.js: Headers fetch API の正規表現のサービス拒否 (CVE-2023-24807)

Nessus はこれらの問題をテストしておらず、代わりにアプリケー代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Rocky Linux 8ホストには、CIQ crlsa-2023_1583 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * glob-parent:正規表現のサービス拒否(CVE-2021-35065)

    * http-cache-semantics:正規表現のサービス拒否(ReDoS)の脆弱性(CVE-2022-25881)

    * Node.js:権限ポリシーが、process.mainModule を通じてバイパスされる可能性があります(CVE-2023-23918)

    * Node.js:Fetch API がホストヘッダーの CRLF インジェクションから保護しませんでした(CVE-2023-23936)

    * Node.js:ICU_DATA 環境変数による ICU データの安全でないロード(CVE-2023-23920)

    * Node.js:ヘッダーフェッチ API での正規表現のサービス拒否(CVE-2023-24807)

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Rocky Linux 8ホストには、CIQ crlsa-2023_1743 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * decode-uri-component:DoSにつながる不適切な入力検証(CVE-2022-38900)

    * glob-parent:正規表現のサービス拒否(CVE-2021-35065)

    * nodejs-minimatch:braceExpand 関数による ReDoS(CVE-2022-3517)

    * c-ares:文字列長チェックがないことによる config_sortlist() でのバッファオーバーフロー(CVE-2022-4904)

    * http-cache-semantics:正規表現のサービス拒否(ReDoS)の脆弱性(CVE-2022-25881)

    * Node.js:権限ポリシーが、process.mainModule を通じてバイパスされる可能性があります(CVE-2023-23918)

    * Node.js:ICU_DATA 環境変数による ICU データの安全でないロード(CVE-2023-23920)

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 9 ホストにインストールされているパッケージは、RHSA-2023: 5533 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - これは 4.1.1より前のバージョンの http-cache-semantics のバージョンに影響します。サーバーに送信された悪意のあるリクエストヘッダーの値を介して、この問題が悪用される可能性があります。これはサーバーがこのライブラリを使用しているリクエストからキャッシュポリシーを読み取る場合です。(CVE-2022-25881)

  - c-ares パッケージに欠陥が見つかりました。ares_set_sortlist に、入力文字列の有効性に関するチェックがないため、任意の長さのスタックオーバーフローが発生する可能性があります。この問題により、サービス拒否または機密性と整合性への限定的な影響が発生する可能性があります。(CVE-2022-4904)

  - Node.js <19.6.1、<18.14.1、<16.19.1、<14.21.3 には信頼できない検索パスの脆弱性が存在します。これにより、攻撃者が昇格した権限で実行しているときに ICU データを検索して読み込む可能性があります。
    (CVE-2023-23920)

  - undici は Node.js 用の HTTP/1.1 クライアントです。バージョン 2.0.0以降、バージョン 5.19.1より前の undici ライブラリは「host」HTTP ヘッダーを CRLF インジェクションの脆弱性から保護しません。この問題は、Undici v5.19.1 でパッチされています。回避策として、undici に渡す前に「headers.host」文字列をサニタイズしてください。
    (CVE-2023-23936)

  - undici は Node.js 用の HTTP/1.1 クライアントです。バージョン 5.19.1より前の「Headers.set()」および「Headers.append()」メソッドは、信頼できない値が関数に渡された場合の正規表現サービス拒否 (ReDoS) 攻撃に対して脆弱です。この原因は「headerValueNormalize()」ユーティリティ関数の中の値を正規化するために使用される非効率的な正規表現です。この脆弱性は v5.19.1 でパッチされました。既知の回避策はありません。(CVE-2023-24807)

  - process.mainModule.proto.require() で __proto__ を使用すると、ポリシーメカニズムがバイパスされ、policy.json 定義外のモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。v16、v18、および v20。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-30581)

  - crypto.X509Certificate() API を使用して x509 証明書を作成するために無効な公開鍵が使用されると、予期しない終了が発生し、ユーザーコードから提供された証明書の公開鍵情報にアクセスする際にプロセスが終了するため、攻撃者がアプリケーション処理を強制的に中断させる DoS 攻撃を受ける可能性があります。ユーザーの現在のコンテキストがなくなり、DoS シナリオが発生します。この脆弱性は、すべてのアクティブな Node.js バージョン v16、v18、v20 に影響します。(CVE-2023-30588)

  - Node v20.2.0 の http モジュールの llhttp パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。CR 文字 (LF なし) は、llhttp パーサーの HTTP ヘッダーフィールドを区切るのに十分です。RFC7230 セクション 3 によると、CRLF シーケンスだけが各ヘッダーフィールドを区切る必要があります。これは、次のすべての Node.js アクティブバージョンに影響します。v16、v18、v20 (CVE-2023-30589)

  - crypto.createDiffieHellman() から返された generateKeys() API 関数は、欠落している (または古い) 鍵のみを生成します。つまり、何も設定されていない場合にのみ、秘密鍵を生成します。ただし、この関数は setPrivateKey() の呼び出し後に対応する公開鍵を計算するためにも必要です。ただし、ドキュメントには次の API 呼び出しが記載されています。プライベートおよびパブリックの Diffie-Hellman キー鍵の値を生成します。文書化された動作は実際の動作とは異なります。DiffieHellman がアプリケーションレベルのセキュリティの基礎として使用される可能性があるため、この相違により、これらの API を使用するアプリケーションでセキュリティの問題が簡単に発生する可能性があります。したがって、その影響は大きくなります。(CVE-2023-30590)

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

  - すべてのアクティブなリリースラインの実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。16.x、18.x、20.x。廃止予定の API「process.binding()」の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に「process.binding(「spawn_sync」)」を利用して、「policy.json」ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされているNode.jsのバージョンは、14.21.3、16.19.1、18.14.1、19.6.1 より前のものです。したがって、2023 年 2 月 16 日木曜日のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - process.mainModule.require() を使用して、権限をバイパスし、承認されていないモジュールにアクセスすることが可能でした。これは、実験的な権限オプションを --experimental-policy で有効にしたユーザーにのみ影響します。この脆弱性を報告してくれた @goums に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。影響: (CVE-2023-23918)

  - 場合によっては、Node.js が OpenSSL エラースタックを設定する可能性のある操作の後にそれをクリアしませんでした。これにより、後続の暗号操作中に誤検出エラーが発生し、同じスレッド上で発生する可能性があります。これを使用して、サービス拒否が引き起こされる可能性があります。この脆弱性を報告、発見してくれた Viasat Secure Mobile の Morgan Jones 氏と Ryan Dorrity 氏に感謝の意を表します。また、この問題を修正してくれた Rafael Gonzaga 氏に感謝の意を表します。影響: (CVE-2023-23919)

  - Node.js のフェッチ API は、「host」ヘッダーの CRLF インジェクションを防止しませんでした。これにより、HTTP 応答分割や HTTP ヘッダーインジェクションなどの攻撃が可能になります。この脆弱性を報告してくれた Zhipeng Zhang 氏 (@timon8) に、および修正してくれた Robert Nagy 氏に感謝の意を表します。影響: (CVE-2023-23936)

  - Regular 表現のサービス拒否 (ReDoS) 攻撃に対して脆弱な Node.js のフェッチ API の Headers.set() メソッドおよび Headers.append() メソッド。この脆弱性を報告してくれた Carter Snook 氏に、および修正してくれた Rich Trott 氏に感謝の意を表します。影響: (CVE-2023-24807)

  - 昇格した権限で実行すると、Node.js が ICU データを検索し、ロードする可能性があります。Node.js は、これを回避するために ICU_NO_USER_DATA_OVERRIDE で構築するように変更されました。この脆弱性を報告してくれた Ben Noordhuis 氏に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。影響: (CVE-2023-23920)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
172099	SUSE SLES15 / openSUSE 15 セキュリティ更新: nodejs16 (SUSE-SU-2023:0608-1)	Nessus	SuSE Local Security Checks	2023/3/5	2026/6/26	high
189668	RHEL 8 : nodejs:18 (RHSA-2023:1583)	Nessus	Red Hat Local Security Checks	2024/1/26	2025/3/6	high
354296	Rocky Linux 8 [CIQ] セキュリティ更新:nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 複数の脆弱性(crlsa-2023_1583)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
356526	Rocky Linux 8 [CIQ] セキュリティ更新:nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 複数の脆弱性(crlsa-2023_1743)	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
182781	RHEL 9 : nodejs (RHSA-2023: 5533)	Nessus	Red Hat Local Security Checks	2023/10/9	2024/11/7	critical
171595	Node.js 14.x < 14.21.3 / 16.x < 16.19.1 / 18.x < 18.14.1 / 19.x < 19.6.1 の複数の脆弱性 (2023 年 2 月 16 日木曜日のセキュリティリリース)。	Nessus	Misc.	2023/2/17	2026/10/9	high

検出

プラグインの検索

high

high

high

high

critical

high