リモートホストにインストールされている Node.js のバージョンは、16.20.2、18.17.1、20.5.1より前のものです。したがって、2023 年 8 月 9 日のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 権限ポリシーは、Module._load を介してバイパスされる可能性があります (CVE-2023-32002)

  - バッファのパストラバーサルシーケンスを指定することによる、権限モデルのバイパス (CVE-2023-32004)

  - process.binding() が、パストラバーサルを通じて権限モデルをバイパスする可能性があります (CVE-2023-32558)

  - 権限ポリシーが、module.constructor.createRequire() を使用する際に他のモジュールになりすます可能性があります (CVE-2023-32006)

  権限ポリシーは、process.binding を介してバイパスされる可能性があります (CVE-2023-32559)

  - fs.statfs は、権限モデルによって制限されているファイルから統計を取得する可能性があります (CVE-2023-32005)

  - fs.mkdtemp() および fs.mkdtempSync() に getValidatedPath() チェックがありません (CVE-2023-32003)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのホストにインストールされている Siemens SINEC NMS は、2.0.1.0 より前のバージョンです。したがって、SSA-943925 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 3.3.4 までの coreruleset (別名 OWASP ModSecurity コアルールセット) は、一部のプラットフォームで複数の Content-Type リクエストヘッダーを検出しません。これにより、攻撃者が細工されたペイロードで WAF をバイパス (別名 WAF とバックエンドアプリケーション間の Content-Type の取り違え) する可能性があります。これは、ウェブアプリケーションが最後の Content-Type ヘッダーのみに依存している場合に発生します。他のプラットフォームが追加の Content-Type ヘッダーを拒否したり、競合するヘッダーをマージしたりすると、無効な形式のヘッダーとして検出される可能性があります。
    (CVE-2023-38199)

  - Apache HTTP Server バージョン 2.4.0〜 2.4.55の一部の mod_proxy 設定では、HTTP リクエストスマグリング攻撃が可能です。mod_proxy が何らかの形式の RewriteRule または ProxyPassMatch と共に有効化され、非特定のパターンがユーザー指定のリクエストターゲット (URL) データの一部に一致し、変数置換を使用してプロキシされたリクエストターゲットに再挿入されると、設定が影響を受けます。例えば、RewriteRule ^/here/(.*) http://example.com:8080/elsewhere?$1; [P] ProxyPassReverse /here/ http://example.com:8080/ の RewriteEngine リクエストの分割 / スマグリングにより、プロキシサーバーのアクセスコントロールのバイパス、既存のオリジンサーバーへの意図しない URL のプロキシ、キャッシュポイズニングが発生する可能性があります。ユーザーは、少なくともバージョン 2.4.56 の Apache HTTP Server に更新することをお勧めします。(CVE-2023-25690)

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 37 ホストには、FEDORA-2023-18476abd7e のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

  - 「fs.mkdtemp()」および「fs.mkdtempSync()」が使用され、パストラバーサル攻撃でアクセス許可モデルチェックがバイパスされる可能性があります。この欠陥は、fs.mkdtemp() API にチェックがないことから発生します。その影響として、悪意のある攻撃者が任意のディレクトリを作成する可能性があります。この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。(CVE-2023-32003)

  - Node.js バージョン 20 で、特に実験的なアクセス許可モデル内に脆弱性が発見されました。この欠陥は、ファイルアクセス許可を検証する際にパストラバーサルをバイパスさせるファイルシステム API におけるバッファの不適切な処理に関連しています。この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。(CVE-2023-32004)

  - Node.js バージョン 20 で脆弱性が特定され、--allow-fs-read フラグが*以外の引数で使用されると、実験的なアクセス許可モデルのユーザーに影響を与えます。この欠陥は、「fs.statfs」API を通じてファイル統計を制限できないという、不十分なアクセス許可モデルに起因しています。その結果、悪意のある攻撃者は、明示的な読み取りアクセス権がないファイルから統計情報を取得できる可能性があります。この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。(CVE-2023-32005)

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

  - 廃止された API「process.binding()」を使用すると、パストラバーサルによって権限モデルがバイパスされる可能性があります。
    この脆弱性は、Node.js 20.x で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。
    (CVE-2023-32558)

  - すべてのアクティブなリリースラインの実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。16.x、18.x、および 20.x。廃止予定の API「process.binding()」の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に「process.binding(「spawn_sync」)」を利用して、「policy.json」ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 38 ホストには、FEDORA-2023-d12a917ab4 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

  - 「fs.mkdtemp()」および「fs.mkdtempSync()」が使用され、パストラバーサル攻撃でアクセス許可モデルチェックがバイパスされる可能性があります。この欠陥は、fs.mkdtemp() API にチェックがないことから発生します。その影響として、悪意のある攻撃者が任意のディレクトリを作成する可能性があります。この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。(CVE-2023-32003)

  - Node.js バージョン 20 で、特に実験的なアクセス許可モデル内に脆弱性が発見されました。この欠陥は、ファイルアクセス許可を検証する際にパストラバーサルをバイパスさせるファイルシステム API におけるバッファの不適切な処理に関連しています。この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。(CVE-2023-32004)

  - Node.js バージョン 20 で脆弱性が特定され、--allow-fs-read フラグが*以外の引数で使用されると、実験的なアクセス許可モデルのユーザーに影響を与えます。この欠陥は、「fs.statfs」API を通じてファイル統計を制限できないという、不十分なアクセス許可モデルに起因しています。その結果、悪意のある攻撃者は、明示的な読み取りアクセス権がないファイルから統計情報を取得できる可能性があります。この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。(CVE-2023-32005)

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

  - 廃止された API「process.binding()」を使用すると、パストラバーサルによって権限モデルがバイパスされる可能性があります。
    この脆弱性は、Node.js 20.x で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。
    (CVE-2023-32558)

  - すべてのアクティブなリリースラインの実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。16.x、18.x、および 20.x。廃止予定の API「process.binding()」の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に「process.binding(「spawn_sync」)」を利用して、「policy.json」ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
179692	Node.js 16.x < 16.20.2 / 18.x < 18.17.1 / 20.x < 20.5.1 の複数の脆弱性 (2023 年 8 月 9 日水曜日のセキュリティリリース)。	Nessus	Misc.	2023/8/11	2024/1/9	critical
191429	Siemens SINEC NMS < V2.0 SP1 の複数の脆弱性	Nessus	Windows	2024/2/29	2024/3/1	critical
179978	Fedora 37 : nodejs16 / nodejs18 / nodejs20 (2023-18476abd7e)	Nessus	Fedora Local Security Checks	2023/8/19	2024/4/29	critical
179885	Fedora 38 : nodejs16 / nodejs18 / nodejs20 (2023-d12a917ab4)	Nessus	Fedora Local Security Checks	2023/8/16	2024/4/29	critical

検出

プラグインの検索

critical

critical

critical

critical