https://nodejs.org/en/blog/release/v8.11.0/

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Node.jsによる報告：Node.jsインスペクターDNSリバインドの脆弱性（ CVE-2018-7160 ）。Node.js 6.x以降には、--inspectおよび関連するコマンドラインフラグによってアクティブにされる可能性のあるデバッガープロトコル（「インスペクター」とも呼ばれる）が含まれています。このデバッガーサービスは、リモートコードの実行を実行するために悪用される可能性があるDNS再バインド攻撃に脆弱でした。「path」モジュールの正規表現のサービス拒否（CVE-2018-7158）。Node.js 4.xリリースラインの「path」モジュールには、正規表現のサービス拒否（ReDoS）につながる可能性のあるベクトルが含まれています。問題のコードはNode.js 6.x以降では置換されたため、この脆弱性はNode.js 4.xのすべてのバージョンにのみ影響します 。HTTPのContent-Lengthヘッダー値のスペースが無視される（CVE-2018-7159）。現在のすべてのバージョンのNode.jsのHTTPパーサーは、Content-Lengthヘッダー内のスペースを無視するため、「Content-Length 1 2」は値「12」として解釈されます。HTTP仕様では、Content-Length値のスペースが許可されておらず、Node.js HTTPパーサーはこの特定の違いに合わせて調整されています。

このnodejs4用の更新プログラムでは、次の問題を修正します：

  - 一部のnode-gyp権限を修正します

  - 新しいUpstreamメンテナンス4.9.1：

  - セキュリティ修正：

  + CVE-2018-7158：「path」モジュールの正規表現サービス拒否を修正します（bsc#1087459）

  + CVE-2018-7159：HTTP Content-Lengthヘッダー値内のスペースを拒否します（bsc#1087453）

  - OpenSSL 1.0.2oにアップグレードします

  - deps：Content-Length内の空白を拒否します

  - deps：http-parserをv2.8.0にアップグレードします

  - これらのmanページへのシンボリックリンクを管理するために使用されていた古いupdate-alternativesから%pre内の古いmanページファイルを削除します。

  - npm用のpython2上で、RecommendsとBuildRequireを追加します。
    今のところ、node-gypにはこの古いバージョンのpythonが必要です。
    これはバイナリモジュールにのみ必要です。

  - 最新のコードストリームでさえ、binutils goldが存在するのはs390ではなくs390xのみです

  - %checkターゲットでCIテストを有効にします

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このnodejs6の更新では、次の問題を修正します：

  - 一部のnode-gyp権限を修正します

  - 新しいUpstream LTSリリース6.14.1：

  - セキュリティ修正：

  + CVE-2018-7160：インスペクターDNSリバインドの脆弱性に対する修正（bsc#1087463）

  + CVE-2018-7158：「path」モジュールの正規表現サービス拒否を修正します（bsc#1087459）

  + CVE-2018-7159：HTTP Content-Lengthヘッダー値内のスペースを拒否します（bsc#1087453）

  - 新しいUpstream LTSリリース6.13.1：

  - http、tls：IPv6アドレスのサポートを改善します

  - コンソール：console.count()とconsole.clear()を追加しました

  - crypto：

  + ECDHクラスを開示します

  + cypto.randomFill()とcrypto.randomFillSync()を追加しました

  + 無効な認証タグの長さについて警告します

  - deps：libuvを1.16.1にアップグレードします

  - dgram：socket.setMulticastInterface()を追加しました

  - http：エージェントのオーバーライド可能なキープアライブ動作を可能にするために、agent.keepSocketAliveとagent.reuseSocketを追加します

  - lib：net.Socket.end()からこれを返します

  - モジュール：Node内のすべての組み込みモジュールのリストを提供するbuildinModules apiを追加します

  - net：getConnections()からこれを返します

  - promises：未処理の拒否に対して文字列化を強化します

  - repl：require()オートコンプリートを改善します

  - src：

  + openssl-system-ca-path構成オプションを追加します

  + --use-bundled-ca --use-openssl-caチェックを追加します

  + process.ppidを追加します

  - tls：tls.connect()の検索オプションを受け入れます

  - tools、build：新しいmacOSインストーラー！

  - url：WhatWG URL APIのサポート

  - util：%iと%fの書式指定子を追加します

  - これらのmanページへのシンボリックリンクを管理するために使用されていた古いupdate-alternativesから%pre内の古いmanページファイルを削除します。

  - npm用のpython2上で、RecommendsとBuildRequireを追加します。
    今のところ、node-gypにはこの古いバージョンのpythonが必要です。
    これはバイナリモジュールにのみ必要です。

  - 最新のコードストリームでさえ、binutils goldが存在するのはs390ではなくs390xのみです

  - 新しいUpstream LTSリリース6.12.3：

  - v8：プロファイラー関連の修正

  - ほとんどが文書化およびテスト関連の変更

  - %checkターゲットでCIテストを有効にします

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このnodejs4用の更新プログラムでは、次の問題が修正されます：

  - 一部のnode-gyp権限を修正します

  - 新しいUpstreamメンテナンス4.9.1：

  - セキュリティ修正：

  + CVE-2018-7158：「path」モジュールの正規表現サービス拒否を修正します（bsc#1087459）

  + CVE-2018-7159：HTTP Content-Lengthヘッダー値内のスペースを拒否します（bsc#1087453）

  - OpenSSL 1.0.2oにアップグレードします

  - deps：Content-Length内の空白を拒否します

  - deps：http-parserをv2.8.0にアップグレードします

  - これらのmanページへのシンボリックリンクを管理するために使用されていた古いupdate-alternativesから%pre内の古いmanページファイルを削除します。

  - npm用のpython2上で、RecommendsとBuildRequireを追加します。
    今のところ、node-gypにはこの古いバージョンのpythonが必要です。
    これはバイナリモジュールにのみ必要です。

  - 最新のコードストリームでさえ、binutils goldが存在するのはs390ではなくs390xのみです

  - %checkターゲットでCIテストを有効にします。この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

このnodejs6の更新では、次の問題が修正されます：

  - 一部のnode-gyp権限を修正します

  - 新しいUpstream LTSリリース6.14.1：

  - セキュリティ修正：

  + CVE-2018-7160：インスペクターDNSリバインドの脆弱性に対する修正（bsc#1087463）

  + CVE-2018-7158：「path」モジュールの正規表現サービス拒否を修正します（bsc#1087459）

  + CVE-2018-7159：HTTP Content-Lengthヘッダー値内のスペースを拒否します（bsc#1087453）

  - 新しいUpstream LTSリリース6.13.1：

  - http、tls：IPv6アドレスのサポートを改善します

  - コンソール：console.count()とconsole.clear()を追加しました

  - crypto：

  + ECDHクラスを開示します

  + cypto.randomFill()とcrypto.randomFillSync()を追加しました

  + 無効な認証タグの長さについて警告します

  - deps：libuvを1.16.1にアップグレードします

  - dgram：socket.setMulticastInterface()を追加しました

  - http：エージェントのオーバーライド可能なキープアライブ動作を可能にするために、agent.keepSocketAliveとagent.reuseSocketを追加します

  - lib：net.Socket.end()からこれを返します

  - モジュール：Node内のすべての組み込みモジュールのリストを提供するbuildinModules apiを追加します

  - net：getConnections()からこれを返します

  - promises：未処理の拒否に対して文字列化を強化します

  - repl：require()オートコンプリートを改善します

  - src：

  + openssl-system-ca-path構成オプションを追加します

  + --use-bundled-ca --use-openssl-caチェックを追加します

  + process.ppidを追加します

  - tls：tls.connect()の検索オプションを受け入れます

  - tools、build：新しいmacOSインストーラー！

  - url：WhatWG URL APIのサポート

  - util：%iと%fの書式指定子を追加します

  - これらのmanページへのシンボリックリンクを管理するために使用されていた古いupdate-alternativesから%pre内の古いmanページファイルを削除します。

  - npm用のpython2上で、RecommendsとBuildRequireを追加します。
    今のところ、node-gypにはこの古いバージョンのpythonが必要です。
    これはバイナリモジュールにのみ必要です。

  - 最新のコードストリームでさえ、binutils goldが存在するのはs390ではなくs390xのみです

  - 新しいUpstream LTSリリース6.12.3：

  - v8：プロファイラー関連の修正

  - ほとんどが文書化およびテスト関連の変更

  - %checkターゲットでCIテストを有効にします

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

リモートホストにインストールされているNode.jsのバージョンは、4.9.0より前の4.x、6.14.0より前の6.x、8.11.0より前の8.x、または9.10.0より前の9.xです。したがって、複数の脆弱性の影響を受けます。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
120570	Fedora 28：1: nodejs（2018-8049b2c488）	Nessus	Fedora Local Security Checks	2019/1/3	2021/1/6	high
108738	FreeBSD: node.js -- 複数の脆弱性（5a9bbb6e-32d3-11e8-a769-6daaba161086）	Nessus	FreeBSD Local Security Checks	2018/3/30	2018/11/10	high
120019	SUSE SLES12セキュリティ更新プログラム：nodejs4 (SUSE-SU-2018:0952-1)	Nessus	SuSE Local Security Checks	2019/1/2	2020/3/20	medium
120022	SUSE SLES12セキュリティ更新プログラム：nodejs6 (SUSE-SU-2018:1183-1)	Nessus	SuSE Local Security Checks	2019/1/2	2020/3/20	high
109101	openSUSEセキュリティ更新プログラム：nodejs4（openSUSE-2018-375）	Nessus	SuSE Local Security Checks	2018/4/18	2021/1/19	high
108819	Fedora 27：1：libuv / 1：nodejs（2018-ecf73042e3）	Nessus	Fedora Local Security Checks	2018/4/4	2021/1/6	high
108920	Fedora 26：1：nodejs（2018-e672eaf4df）	Nessus	Fedora Local Security Checks	2018/4/10	2021/1/6	high
109717	openSUSEセキュリティ更新プログラム：nodejs6（openSUSE-2018-444）	Nessus	SuSE Local Security Checks	2018/5/11	2021/1/19	high
118933	Node.jsの複数の脆弱性（2018年3月のセキュリティリリース）	Nessus	Misc.	2018/11/14	2024/1/9	high

検出

プラグインの検索

high

high

medium

high

high

high

high

high

high