リモートの CentOS Linux 9 ホストに、nodejs-16.16.0-1.el9 ビルド変更ログに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  6.14.6より前のバージョンのnpm CLIは、ログファイルを通じた情報漏洩の脆弱性に脆弱です。CLI は、<protocol>://[<user>[:<password>]@]<hostname>[:<port>][:][/]<path> のような URL をサポートしています。パスワードの値は編集されず、stdoutおよび生成されたログファイルに出力されます。（CVE-2020-15095）

  - 16.6.0、14.17.4、および 12.22.4 より前の Node.js は、Node.js dns ライブラリの Domain Name Servers によって返されるホスト名の入力を検証しないため、リモートコード実行、XSS、アプリケーションのクラッシュに脆弱です。その結果、誤ったホスト名 (ドメインハイジャックに至る) を出力し、当該ライブラリを使用するアプリケーションにインジェクションの脆弱性を発生させる可能性があります。(CVE-2021-22931)

  - rejectUnauthorizedパラメーターに対して、Node.js https APIが不適切に使用され、定義されずに、渡される場合、エラーが返されず、有効期限が切れた証明書を使ったサーバーへの接続が受理されていました。(CVE-2021-22939)

  - 16.6.1、14.17.5、および 12.22.5 より前の Node.js はメモリ解放後使用 (Use-After-Free) 攻撃に対して脆弱であり、攻撃者はメモリ破損を悪用し、プロセスの挙動を変更させることが可能な場合があります。(CVE-2021-22940)

  - このパーサーは、コロンの前のヘッダー名の直後にスペース (SP) があるリクエストを受け入れます。これにより、llhttp < v2.1.4 および < v6.0.6 で HTTP リクエストスマグリング (HRS) が引き起こされる可能性があります。(CVE-2021-22959)

  - llhttp < 2.1.4および < 6.0.6の解析関数は、チャンクされたリクエストの本文を解析するときに、チャンク拡張を無視します。このため、特定の状況で HTTP リクエストスマグリング (HRS) が発生します。(CVE-2021-22960)

  -8.0.1で修正された、SSRI 5.2.2-8.0.0は、サービス拒否に対して脆弱である正規表現を使用してSRIを処理します。悪意のあるSRIの処理に非常に長い時間がかかり、サービス拒否が発生する可能性があります。この問題は、厳格なオプションを使用するコンシューマーにのみ影響します。(CVE-2021-27290)

  - ansi-regex は非効率的な正規表現の複雑性に対して脆弱です (CVE-2021-3807)

  - json-schema は、オブジェクトプロトタイプ属性の不適切に制御された変更 (「プロトタイプ汚染」) に対して脆弱です (CVE-2021-3918)

  - package-lock.json の依存関係情報が package.json と異なる場合でも、npm 7.x および 8.x から 8.1.3 の npm ci コマンドはインストールを続行します。この動作はドキュメントと一致しておらず、package-lock.json の正確なバージョン一致要件によってブロックされているはずのマルウェアを攻撃者がインストールしやすくします。注意: npm チームは、これは脆弱性ではないと考えています。これには、だれかが package-lock.json とは異なる依存関係を持つ package.json をソーシャルエンジニアリングする必要があります。そのユーザーは、依存関係を変更するためにファイルシステムまたは書き込みアクセス権を持っている必要があります。
    npm チームによると、悪意のある攻撃者によるソーシャルエンジニアリングやファイルシステムへのアクセスを阻止することは、npm CLI の範囲外です。(CVE-2021-43616)

  - 任意のサブジェクト代替名 (SAN) タイプを受け入れると、PKI が特定の SAN タイプを使用するように明確に定義されていない限り、名前に制約のある中間体がバイパスされる可能性があります。Node.js < 12.22.9, < 14.18.3, < 16.13.2, および < 17.3.1は、URI SAN タイプを受け入れていました。これは、多くの場合、PKI が使用するように定義されていません。
    さらに、プロトコルが URI SAN を許可している場合、Node.js は URI を正しく一致させませんでした。これを修正した Node.js のバージョンは、ホスト名に対して証明書をチェックするときに URI SAN タイプを無効にします。この動作は、--security-revertコマンドラインオプションで元に戻すことができます。(CVE-2021-44531)

  - Node.js < 12.22.9, < 14.18.3, < 16.13.2, および < 17.3.1は、SAN (Subject Alternative Names) を文字列形式に変換します。この文字列を使用して、接続を検証する際にホスト名に対してピア証明書をチェックします。証明書チェーン内で名前の制約が使用されると、文字列形式が注入の脆弱性の影響を受け、これらの名前の制約がバイパスされる可能性があります。これを修正した Node.js のバージョンは、インジェクションを防ぐために、問題がある文字を含む SAN をエスケープします。この動作は、--security-revertコマンドラインオプションで元に戻すことができます。(CVE-2021-44532)

  - Node.js < 12.22.9, < 14.18.3, < 16.13.2, および < 17.3.1が複数値の相対識別名を適切に処理しませんでした。攻撃者は、たとえば、証明書サブジェクトの検証をバイパスできる Common Name を注入するために、複数値の Relative Distinguished Name として解釈される単一値の Relative Distinguished Name を含む証明書サブジェクトを作成する可能性があります。影響を受けるバージョンの Node.js は複数値の Relative Distinguished Name を受け入れないため、そのような攻撃自体に対して脆弱ではありません。ただし、証明書サブジェクトのノードの曖昧な表現を使用するサードパーティコードは、脆弱である可能性があります。(CVE-2021-44533)

  - console.table() 関数のフォーマットロジックにより、ユーザー制御の入力をプロパティパラメーターに渡すことはできませんが、最初のパラメーターとして少なくとも 1 つのプロパティを持つプレーンオブジェクトを渡すことは安全ではありません。これは __proto__ である可能性があります。プロトタイプ汚染は、オブジェクトプロトタイプの数値キーに割り当てられる空の文字列のみを許可するという点で、コントロールが非常に制限されています。Node.js >= 12.22.9、>= 14.18.3、>= 16.13.2、および >= 17.3.1はこれらのプロパティが割り当てられている null プロトタイプを使用しています。(CVE-2022-21824)

  - Node.js バージョン <14.20.0、<16.20.0、<18.5.0 に OS コマンドインジェクションの脆弱性が存在します。これは、IsIPAddress が DBS リクエストを行う前に IP アドレスが無効かどうかを適切にチェックしないため、容易にバイパスできる IsAllowedHost チェックが不十分なためです。これにより、再バインド攻撃が可能になります。(CVE-2022-32212)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1、および <v18.9.1 が Transfer-Encoding ヘッダーを正しく解析および検証せず、HTTP Request Smuggling (HRS) につながる可能性があります。(CVE-2022-32213)

  - Node.js の http モジュールの <v14.20.1、<v16.17.1 および <v18.9.1 パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。
    (CVE-2022-32214)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1 および <v18.9.1 が、複数行の Transfer-Encoding ヘッダーを適切に処理しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。
    (CVE-2022-32215)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:0570-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - パッケージpath-parseのすべてのバージョンは、splitDeviceRe、splitTailRe、およびsplitPathRe正規表現を介した正規表現のサービス拒否 (ReDoS) に対して脆弱です。ReDoS は、多項式の最悪の場合の時間の複雑さを示しています。(CVE-2021-23343)

  - バージョン 6.1.2、5.0.7、4.4.15、および 3.2.3 より前の npm パッケージ tar (別名 node-tar) には、不十分なシンボリックリンク保護による任意のファイル作成/上書きの脆弱性があります。「node-tar」は、シンボリックリンクによって場所が変更されるファイルが抽出されないことを保証することを目的としています。これは、抽出されたディレクトリがシンボリックリンクではないことを確認することで、一部は達成されます。さらに、特定のパスがディレクトリであるかどうかを判断するための不要な「stat」呼び出しを防ぐために、ディレクトリが作成されるときにパスがキャッシュされます。ディレクトリとディレクトリと同じ名前のシンボリックリンクの両方を含むtarファイルを抽出する際に、このロジックは不十分でした。この操作順序により、ディレクトリが作成され、「node-tar」ディレクトリキャッシュに追加されました。ディレクトリがディレクトリキャッシュにある場合、そのディレクトリに対する後続のmkdirの呼び出しはスキップされます。ただし、これはシンボリックリンクの「node-tar」チェックが行われる場所でもあります。最初にディレクトリを作成し、次にそのディレクトリをシンボリックリンクに置き換えることで、ディレクトリの「node-tar」シンボリックリンクチェックをバイパスし、信頼できないtarファイルを任意の場所にシンボリックリンクさせ、その後そこに任意のファイルを抽出することが可能になりました。任意のファイルの作成および上書きを可能にします。この問題は、リリース 3.2.3、4.4.15、5.0.7 および 6.1.2 で対処されています。(CVE-2021-32803)

  - バージョン 6.1.1、5.0.6、4.4.14、および 3.3.2 より前の npm パッケージ tar (別名 node-tar) には、絶対パスサニタイズが不十分なため、任意のファイル作成/上書きの脆弱性があります。node-tar は、「preservePaths」フラグが「true」に設定されていない場合に、絶対パスを相対パスに変換することで、絶対ファイルパスの抽出を防ぐことを目的としています。これは、tar ファイルに含まれる絶対ファイルパスから絶対パスルートを取り除くことで達成されます。たとえば、「/home/user/.bashrc」は「home/user/.bashrc」になります。ファイルパスに「////home/user/.bashrc」などの繰り返されるパスルートが含まれる場合、このロジックは不十分でした。
    「node-tar」は、そのようなパスから単一のパスルートのみを削除します。繰り返しパスルートを持つ絶対ファイルパスが与えられた場合、結果のパス (例：「///home/user/.bashrc」) は依然として絶対パスに解決され、任意のファイルの作成および上書きが可能になります。この問題は、リリース3.2.2、4.4.14、5.0.6および6.1.1で対処されています。ユーザーは、「entry.path」をサニタイズするカスタムの「onentry」メソッド、または絶対パスを持つエントリを削除する「filter」メソッドを作成することで、アップグレードせずにこの脆弱性を回避できます。詳細については、GitHubアドバイザリを参照してください。CVE-2021-32803 に注意してください。これにより、新しいバージョンの tar で同様のバグが修正されます。(CVE-2021-32804)

  - ansi-regex は非効率的な正規表現の複雑性に対して脆弱です (CVE-2021-3807)

  - json-schema は、オブジェクトプロトタイプ属性の不適切に制御された変更 (「プロトタイプ汚染」) に対して脆弱です (CVE-2021-3918)

  - console.table () 関数のフォーマットロジックにより、ユーザー制御の入力をプロパティパラメーターに渡すことはできませんが、最初のパラメーターとして少なくとも1つのプロパティを持つプレーンオブジェクトを渡すことは安全ではありません。これは__proto__である可能性があります。プロトタイプ汚染は、オブジェクトプロトタイプの数値キーに割り当てられる空の文字列のみを許可するという点で、コントロールが非常に制限されています。Node.js >= 12.22.9、>= 14.18.3、>= 16.13.2、および >= 17.3.1はこれらのプロパティが割り当てられている null プロトタイプを使用しています。(CVE-2022-21824)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
191380	CentOS 9 : nodejs-16.16.0-1.el9	Nessus	CentOS Local Security Checks	2024/2/29	2024/4/26	critical
158395	SUSE SLES12 セキュリティ更新プログラム: nodejs10 (SUSE-SU-2022:0570-1)	Nessus	SuSE Local Security Checks	2022/2/25	2023/7/13	critical

検出

プラグインの検索

critical

critical