nodejs-tough-cookieの更新が、Red Hat OpenShift Container Platform 3.1、3.2、3.3で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。セキュリティ修正プログラム：* 正規表現によるサービス拒否の欠陥がTough-Cookieに見つかりました。Touch-Cookieを使用するアプリケーションに十分に大きいHTTPリクエストのCookieヘッダーを解析させることのできる攻撃者が、アプリケーションに過剰な量のCPUを消費させる可能性があります。（CVE-2016-1000232）* ServerResponse#writeHead()のreason引数が正しく検証されていないことがわかりました。リモートの攻撃者が、この欠陥を悪用し、特別に細工されたHTTPリクエストを使用して、HTTP応答分割攻撃を仕掛ける可能性があります。（CVE-2016-5325）このアドバイザリには、このリリースのRPMパッケージが含まれています。このリリースのコンテナイメージの修正については、次のアドバイザリを参照してください：https://access.redhat.com/errata/RHBA-2016:2100

この更新により、新しいアップストリームnodejsLTSバージョン4.6.0が導入され、バグとセキュリティの問題が修正されます：

  - Nodejs埋め込みopensslバージョンの更新

  + 1.0.2jにアップグレードします（CVE-2016-6304、CVE-2016-2183、CVE-2016-2178、CVE-2016-6306、CVE-2016-7052）

  + 動的サードパーティエンジンモジュールのサポートを削除します

- http：入力ユーザーデータの許容文字を適切に検証します。これにより、HTTP応答の構成時にスローが発生する可能性がある新しいケースが導入されます。ユーザーはすでにここでtry/catchを導入している必要があります。
  （CVE-2016-5325、bsc#985201）

  - tls：ワイルドカード証明書が適切に検証されます（CVE-2016-7099、bsc#1001652）

  - buffer：Buffer.concat()により作成される新しいBufferオブジェクトで超過バイトがゼロフィルされます

リモートホストは、GLSA-201612-43（Node.js：複数の脆弱性）で説明されている脆弱性による影響を受けます。Node.jsで、複数の脆弱性が見つかりました。詳細については、以下に記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、サービス拒否状態を引き起こしたり、中間者攻撃を行う可能性があります。回避策：現時点では、既知の回避策はありません。

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2017:0002 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Node.js は、高速でスケーラブルなネットワークアプリケーションを簡単に構築するための、Chrome の JavaScript Runtime に構築されるプラットフォームです。Node.js は、軽量化と効率化、そして分配されたデバイス間で実行するデータを激しく消耗するリアルタイムアプリケーションへの最適化を実現する、イベント駆動型の非ブロック I/O モデルを使用します。

    次のパッケージが新しいアップストリームバージョンにアップグレードされました: rh-nodejs4-nodejs (4.6.2)、rh-nodejs4-http-parser (2.7.0)。(BZ#1388097)

    セキュリティ修正プログラム: 

    * Node.js の tls.checkServerIdentity() 関数がワイルドカードを含むサーバー証明書を適切に検証していないことが判明しました。悪意のある TLS サーバーは、この欠陥を利用して、Node.js TLS クライアントによって受け入れられる特別に細工された証明書を取得する可能性があります。(CVE-2016-7099)

    * V8 ゾーンクラスは、新しいメモリを割り当てる際の整数オーバーフローに対して脆弱であることが判明しました (Zone::New() および Zone::NewExpand())。大規模なゾーンを操作する能力を持つ攻撃者は、アプリケーションをクラッシュさせたり、アプリケーション権限を使用して任意のコードを実行したりする可能性があります。(CVE-2016-1669)

    * 脆弱性が、Node.js にバンドルされている DNS リゾルバーライブラリである c-ares で見つかりました。エスケープされた末尾のドットを持つホスト名では、サイズが正しく計算されず、ヒープ上のバッファの終端を超えて単一バイトが書き込まれます。攻撃者が c-ares を使用してアプリケーションにそのようなホスト名を提供できる場合は、そのアプリケーションを強制終了する可能性があります。(CVE-2016-5180)

    * ServerResponse#writeHead()のreason引数が正しく検証されていないことがわかりました。リモートの攻撃者が、この欠陥を悪用し、特別に細工された HTTP リクエストを使用して、HTTP 応答分割攻撃を仕掛ける可能性があります。(CVE-2016-5325)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

この更新により、新しいアップストリームnodejsLTSバージョン4.6.0が導入され、バグとセキュリティの問題を修正します：

  - Nodejs埋め込みopensslバージョンの更新

  + 1.0.2jにアップグレードします（CVE-2016-6304、CVE-2016-2183、CVE-2016-2178、CVE-2016-6306、CVE-2016-7052）

  + 動的サードパーティエンジンモジュールのサポートを削除します

- http：入力ユーザーデータの許容文字を適切に検証します。
これにより、HTTP応答の構成時にスローが発生する可能性がある新しいケースが導入されます。ユーザーはすでにここでtry/catchを導入している必要があります。
  （CVE-2016-5325、bsc#985201）

  - tls：ワイルドカード証明書が適切に検証されます（CVE-2016-7099、bsc#1001652）

  - buffer：Buffer.concat()により作成される新しいBufferオブジェクトで超過バイトがゼロフィルされます

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
119383	RHEL 7：nodejs and nodejs-tough-cookie（RHSA-2016:2101）	Nessus	Red Hat Local Security Checks	2018/12/4	2025/4/15	medium
94002	openSUSEセキュリティ更新プログラム：nodejs（openSUSE-2016-1172）	Nessus	SuSE Local Security Checks	2016/10/12	2021/1/19	high
95817	GLSA-201612-43：Node.js：複数の脆弱性	Nessus	Gentoo Local Security Checks	2016/12/14	2021/1/11	high
210197	RHEL 6 / 7 : rh-nodejs4-nodejs and rh-nodejs4-http-parser (RHSA-2017:0002)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/5	critical
119982	SUSE SLES12セキュリティ更新プログラム：nodejs4 (SUSE-SU-2016:2470-1)	Nessus	SuSE Local Security Checks	2019/1/2	2022/1/27	high

検出

プラグインの検索

medium

high

high

critical

high