https://nodejs.org/en/blog/release/v4.6.0/

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2017:0002 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Node.js は、高速でスケーラブルなネットワークアプリケーションを簡単に構築するための、Chrome の JavaScript Runtime に構築されるプラットフォームです。Node.js は、軽量化と効率化、そして分配されたデバイス間で実行するデータを激しく消耗するリアルタイムアプリケーションへの最適化を実現する、イベント駆動型の非ブロック I/O モデルを使用します。

    次のパッケージが新しいアップストリームバージョンにアップグレードされました: rh-nodejs4-nodejs (4.6.2)、rh-nodejs4-http-parser (2.7.0)。(BZ#1388097)

    セキュリティ修正プログラム: 

    * Node.js の tls.checkServerIdentity() 関数がワイルドカードを含むサーバー証明書を適切に検証していないことが判明しました。悪意のある TLS サーバーは、この欠陥を利用して、Node.js TLS クライアントによって受け入れられる特別に細工された証明書を取得する可能性があります。(CVE-2016-7099)

    * V8 ゾーンクラスは、新しいメモリを割り当てる際の整数オーバーフローに対して脆弱であることが判明しました (Zone::New() および Zone::NewExpand())。大規模なゾーンを操作する能力を持つ攻撃者は、アプリケーションをクラッシュさせたり、アプリケーション権限を使用して任意のコードを実行したりする可能性があります。(CVE-2016-1669)

    * 脆弱性が、Node.js にバンドルされている DNS リゾルバーライブラリである c-ares で見つかりました。エスケープされた末尾のドットを持つホスト名では、サイズが正しく計算されず、ヒープ上のバッファの終端を超えて単一バイトが書き込まれます。攻撃者が c-ares を使用してアプリケーションにそのようなホスト名を提供できる場合は、そのアプリケーションを強制終了する可能性があります。(CVE-2016-5180)

    * ServerResponse#writeHead()のreason引数が正しく検証されていないことがわかりました。リモートの攻撃者が、この欠陥を悪用し、特別に細工された HTTP リクエストを使用して、HTTP 応答分割攻撃を仕掛ける可能性があります。(CVE-2016-5325)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

この更新により、新しいアップストリームnodejsLTSバージョン4.6.0が導入され、バグとセキュリティの問題を修正します：

  - Nodejs埋め込みopensslバージョンの更新

  + 1.0.2jにアップグレードします（CVE-2016-6304、CVE-2016-2183、CVE-2016-2178、CVE-2016-6306、CVE-2016-7052）

  + 動的サードパーティエンジンモジュールのサポートを削除します

- http：入力ユーザーデータの許容文字を適切に検証します。
これにより、HTTP応答の構成時にスローが発生する可能性がある新しいケースが導入されます。ユーザーはすでにここでtry/catchを導入している必要があります。
  （CVE-2016-5325、bsc#985201）

  - tls：ワイルドカード証明書が適切に検証されます（CVE-2016-7099、bsc#1001652）

  - buffer：Buffer.concat()により作成される新しいBufferオブジェクトで超過バイトがゼロフィルされます

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

https://nodejs.org/en/blog/release/v6.7.0/

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Ubuntu 16.04 ESM / 18.04 ESM ホストには、USN-4796-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 0.10.47 より前の Node.js 0.10.x、0.12.16 より前の 0.12.x、4.6.0 より前の 4.x、6.7.0 より前の 6.x  の tls.checkServerIdentity 関数は、X.509 証明書の名前フィールドでワイルドカードを適切に処理しないため、中間者攻撃者が細工された証明書を通じてサーバーを偽装する可能性があります。(CVE-2016-7099)

  - NAPTR応答の解析に使用されるc-ares関数ares_parse_naptr_reply()は、特別な方法で細工されたDNS応答パケットで渡される場合、指定された入力バッファの外部にあるメモリの読み取りが引き起こされる可能性があります。(CVE-2017-1000381)

  - 6.14.4、8.11.4、10.9.0 より前の Node.js のすべてのバージョンでは、UCS-2 エンコーディング (Node.js により [ucs2]、[ucs-2]、[utf16le] および [utf-16le] の名前で認識されるエンコーディング) で使用されると、[Buffer#write()] が悪用され、単一 [バッファ] の境界外で書き込みが行われる可能性があります。バッファの最後から 2 番目の位置から始まる書き込みにより、書き込まれる入力バイトの最大長の計算エラーが発生します。(CVE-2018-12115)

  - Node.js: Node.js 6.15.0、8.14.0 より前の全バージョン: HTTP リクエストの分割: HTTP リクエストの [パス] オプションに対して、サニタイズされていないユーザー提供の Unicode データを使用するように Node.js を誘導できる場合、データが提供される可能性があります。このデータ提供により、同じサーバーに対して 2 番目の予期しないユーザー定義の HTTP リクエストが引き起こされます。(CVE-2018-12116)

  - Node.js: Node.js 6.15.0、8.14.0、10.14.0、11.3.0 より前の全バージョン: Slowloris HTTP のサービス拒否: 攻撃者は、ヘッダーを非常にゆっくりと送信することで、HTTP または HTTPS の接続と関連するリソースを長期間維持することで、サービス拒否 (DoS) を引き起こす可能性があります。(CVE-2018-12122)

  - Node.js: Node.js 6.15.0、8.14.0、10.14.0、11.3.0 より前の全バージョン: javascript プロトコルの URL パーサーにおけるホスト名のなりすまし: Node.js アプリケーションが URL ホスト名を判断するために url.parse() を使用している場合、そのホスト名は大文字と小文字が混在する javascript: (例: javAscript: ) プロトコル (他のプロトコルは影響を受けない) を使用して、なりすましが行なわれる可能性があります。ホスト名に基づいて URL に関するセキュリティの決定が行われた場合、その決定は正しくない可能性があります。(CVE-2018-12123)

  - 6.x 以降のNode.js インスペクターは、リモートコードの実行を実行するために悪用される可能性があるDNS再バインド攻撃に脆弱です。同じコンピューター上のWebブラウザ、またはNode.jsプロセスを実行しているコンピューターへのネットワークアクセスがある別のコンピューターで開いている悪意のあるWebサイトから、攻撃が可能です。悪意のあるWebサイトがDNS再バインド攻撃を利用して、Webブラウザを騙して同一生成元ポリシーチェックをバイパスし、ローカルホストまたはローカルネットワーク上のホストへのHTTP接続を許可する可能性があります。デバッグポートがアクティブなNode.jsプロセスがローカルホストまたはローカルネットワーク上のホストで実行されている場合、悪意のあるWebサイトがデバッガとして接続し、完全なコード実行アクセス権を取得する可能性があります。(CVE-2018-7160)

  - 一部のパラメーターで Buffer.fill() または Buffer.alloc() を呼び出すと、ハングアップが発生し、サービス拒否が発生する可能性があります。この脆弱性に対処するために、Buffer.alloc() および Buffer.fill() の実装が更新され、このような場合にもハングせずゼロフィルになるようになりました。Node.js 6.x (LTS Boron)、8.x (LTS Carbon)、9.x のすべてのバージョンが脆弱です。Node.js 10.x (最新版) のすべてのバージョンに脆弱性はありません。(CVE-2018-7167)

  - 6.17.0より前の 6.x、8.15.1 より前の 8.x、10.15.2 より前の 10.x、11.10.1 より前の 11.x を含む Node.js では、攻撃者が HTTP または HTTPS 接続をキープアライブモードで確立し、ヘッダーの送信を大幅に遅らせることによって、サービス拒否 (DoS) を引き起こす可能性があります。これにより、接続と関連するリソースが長期間有効のままにされます。ロードバランサーまたは他のプロキシレイヤーを使用することで、攻撃の可能性が緩和されます。
    この脆弱性は、CVE-2018-12121 の拡張であり、11 月に対処され、6.x より前の 6.17.0、8.x より前の  8.15.1、10.x より前の 10.15.2、11.x より前の 11.10.1 を含むすべてのすべてのアクティブな Node.js リリースラインに影響を与えます。 (CVE-2019-5737)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存しています。

この更新により、新しいアップストリームnodejsLTSバージョン4.6.0が導入され、バグとセキュリティの問題が修正されます：

  - Nodejs埋め込みopensslバージョンの更新

  + 1.0.2jにアップグレードします（CVE-2016-6304、CVE-2016-2183、CVE-2016-2178、CVE-2016-6306、CVE-2016-7052）

  + 動的サードパーティエンジンモジュールのサポートを削除します

- http：入力ユーザーデータの許容文字を適切に検証します。これにより、HTTP応答の構成時にスローが発生する可能性がある新しいケースが導入されます。ユーザーはすでにここでtry/catchを導入している必要があります。
  （CVE-2016-5325、bsc#985201）

  - tls：ワイルドカード証明書が適切に検証されます（CVE-2016-7099、bsc#1001652）

  - buffer：Buffer.concat()により作成される新しいBufferオブジェクトで超過バイトがゼロフィルされます

ID	名前	製品	ファミリー	公開日	更新日	深刻度
93977	Fedora 24：1: nodejs（2016-861b8c46b7）	Nessus	Fedora Local Security Checks	2016/10/12	2021/1/11	medium
210197	RHEL 6 / 7 : rh-nodejs4-nodejs and rh-nodejs4-http-parser (RHSA-2017:0002)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/5	critical
119982	SUSE SLES12セキュリティ更新プログラム：nodejs4 (SUSE-SU-2016:2470-1)	Nessus	SuSE Local Security Checks	2019/1/2	2022/1/27	high
94798	Fedora 25：1: nodejs（2016-43ff70c6b1）	Nessus	Fedora Local Security Checks	2016/11/15	2021/1/11	medium
183156	Ubuntu 16.04 ESM / 18.04 ESM : Node.js 脆弱性 (USN-4796-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2025/9/3	high
94002	openSUSEセキュリティ更新プログラム：nodejs（openSUSE-2016-1172）	Nessus	SuSE Local Security Checks	2016/10/12	2021/1/19	high

検出

プラグインの検索

medium

critical

high

medium

high

high