リモートホストにインストールされている Node.js のバージョンは、18.18.2、20.8.1 より前のものです。したがって、2023 年 10 月 13 日金曜日のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Undici が、クロスオリジンリダイレクトの Cookie ヘッダーを必ずしもクリアしていませんでした。設計上、cookie ヘッダーは禁止されたリクエストヘッダーであり、ブラウザ環境では RequestInit.headers で設定できません。
    undici は仕様よりも自由にヘッダーを処理するため、仕様が行った想定と、undici のフェッチの実装との間に断絶がありました。このため、サードパーティのサイトに誤ってクッキーが漏洩したり、リダイレクトターゲットを制御できる悪意のある攻撃者 (オープンリダイレクターなど) がクッキーをサードパーティのサイトに漏洩したりする可能性があります。詳細は、GHSA-wqq4-5wpv-mx2g をご覧ください (CVE-2023-45143)

  - 境界のないストリーム (RST_STREAM が直後に続く HEADERS フレーム) の迅速な作成およびキャンセルは、サービス拒否を引き起こします。詳細については、https://www.cve.org/CVERecord?id=CVE-2023-44487を参照してください。影響:
    (CVE-2023-44487)

  - 以前に開示された脆弱性 (CVE-2023-30584) はパッチが不十分でした。この実装は、アプリケーションが組み込みのユーティリティ関数をユーザー定義の実装で上書きすることを防いでいないため、新しいパストラバーサルの脆弱性が発生します。影響: 注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。セキュリティパッチを報告し、作成した Tobias Nieen 氏に感謝します。(CVE-2023-39331)

  - さまざまな node: fs 関数では、文字列または Uint8Array オブジェクトとしてパスを指定できます。Node.js 環境では、Buffer クラスが Uint8Array クラスを拡張します。Node.js は、文字列 (CVE-2023-30584 を参照) および Buffer オブジェクト (CVE-2023-32004 を参照) を通じたパストラバーサルを防止しますが、Buffer Uint8Array 以外のオブジェクトを通じたパストラバーサルは防止しません。これは、Buffer オブジェクトのみを参照していた CVE-2023-32004 (レポート 2038134) とは異なります。ただし、この脆弱性は Buffer の代わりに Uint8Array を使っても同じパターンになります。影響:
    注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。セキュリティパッチを報告し、作成した Tobias Nieen 氏に感謝します。(CVE-2023-39332)

  - Node.js のポリシー機能が信頼できるマニフェストに対してリソースの整合性をチェックするとき、アプリケーションが操作を傍受し、偽造されたチェックサムをノードのポリシー実装に返すため、整合性チェックを効果的に無効にする可能性があります。影響: 注意: この CVE が発行された時点では、このポリシーメカニズムは Node.js の実験的な機能です。セキュリティパッチを報告し、作成した Tobias Nieen 氏に感謝します。(CVE-2023-38552)

  - インポートされた WebAssembly モジュールのエクスポート名を悪意を持って細工することで、JavaScript コードを注入できます。注入されたコードは、あたかも WebAssembly モジュールが JavaScript モジュールであるかのように、WebAssembly モジュール自体がアクセスできないデータや機能にアクセスできる可能性があります。影響: この問題を報告してくれた dittyroma 氏に、および修正してくれた Tobias Nieen 氏に感謝の意を表します。(CVE-2023-39333)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 38 ホストには、FEDORA-2023-4d2fd884ea のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Node.js のポリシー機能が信頼できるマニフェストに対してリソースの整合性をチェックするとき、アプリケーションが操作を傍受し、偽造されたチェックサムをノードのポリシー実装に返すため、整合性チェックを効果的に無効にする可能性があります。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーメカニズムは Node.js の実験的な機能です。(CVE-2023-38552)

  - コミット 205f1e6 では、以前に開示された脆弱性 (CVE-2023-30584) はパッチが不十分でした。この実装は、アプリケーションが組み込みのユーティリティ関数をユーザー定義の実装で上書きすることを防いでいないため、新しいパストラバーサルの脆弱性が発生します。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。(CVE-2023-39331)

  - さまざまな「node:fs」関数では、文字列または「Uint8Array」オブジェクトとしてパスを指定できます。Node.js 環境では、[Buffer] クラスが [Uint8Array] クラスを拡張します。Node.js は、文字列 (CVE-2023-30584 を参照) および [Buffer] オブジェクト (CVE-2023-32004 を参照) を通じたパストラバーサルを防止しますが、[Buffer] [Uint8Array] 以外のオブジェクトを通じたパストラバーサルは防止しません。これは、「Buffer」オブジェクトのみを参照していた CVE-2023-32004 とは異なります。
    ただし、この脆弱性は [Buffer] の代わりに [Uint8Array] を使っても同じパターンになります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。
    (CVE-2023-39332)

  - HTTP/2 プロトコルでは、リクエストのキャンセルによって多数のストリームを迅速にリセットできるため、サービス拒否 (サーバーリソースの消費) を引き起こすことができます。これは、2023 年 8 月から 10 月まで、野放しで悪用されていました。(CVE-2023-44487)

  - Undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。バージョン 5.26.2 より前では、Undici はクロスオリジンリダイレクトで Authorization ヘッダーをすでにクリアしていましたが、[Cookie] ヘッダーはクリアしていませんでした。設計上、[cookie] ヘッダーは禁止されたリクエストヘッダーであり、ブラウザ環境では RequestInit.headers で設定できません。undici は仕様よりも自由にヘッダーを処理するため、仕様が行った想定と、undici のフェッチの実装との間に断絶がありました。このため、サードパーティのサイトに誤ってクッキーが漏洩したり、リダイレクトターゲットを制御できる悪意のある攻撃者 (オープンリダイレクターなど) がクッキーをサードパーティのサイトに漏洩したりする可能性があります。これはバージョン 5.26.2 でパッチが適用されました。既知の回避策はありません。(CVE-2023-45143)

  - インポートされた WebAssembly モジュールのエクスポート名を悪意を持って細工することで、JavaScript コードを注入できます。注入されたコードは、あたかも WebAssembly モジュールが JavaScript モジュールであるかのように、WebAssembly モジュール自体がアクセスできないデータや機能にアクセスできる可能性があります。影響: この問題を報告してくれた dittyroma 氏に、および修正してくれた Tobias Nieen 氏に感謝の意を表します。(CVE-2023-39333)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Rocky Linux 8 ホストに、RLSA-2023:7205 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Node.js のポリシー機能が信頼できるマニフェストに対してリソースの整合性をチェックするとき、アプリケーションが操作を傍受し、偽造されたチェックサムをノードのポリシー実装に返すため、整合性チェックを効果的に無効にする可能性があります。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーメカニズムは Node.js の実験的な機能です。(CVE-2023-38552)

  - コミット 205f1e6 では、以前に開示された脆弱性 (CVE-2023-30584) はパッチが不十分でした。この実装は、アプリケーションが組み込みのユーティリティ関数をユーザー定義の実装で上書きすることを防いでいないため、新しいパストラバーサルの脆弱性が発生します。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。(CVE-2023-39331)

  - さまざまな「node:fs」関数では、文字列または「Uint8Array」オブジェクトとしてパスを指定できます。Node.js 環境では、[Buffer] クラスが [Uint8Array] クラスを拡張します。Node.js は、文字列 (CVE-2023-30584 を参照) および [Buffer] オブジェクト (CVE-2023-32004 を参照) を通じたパストラバーサルを防止しますが、[Buffer] [Uint8Array] 以外のオブジェクトを通じたパストラバーサルは防止しません。これは、「Buffer」オブジェクトのみを参照していた CVE-2023-32004 とは異なります。
    ただし、この脆弱性は [Buffer] の代わりに [Uint8Array] を使っても同じパターンになります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。
    (CVE-2023-39332)

  - HTTP/2 プロトコルでは、リクエストのキャンセルによって多数のストリームを迅速にリセットできるため、サービス拒否 (サーバーリソースの消費) を引き起こすことができます。これは、2023 年 8 月から 10 月まで、野放しで悪用されていました。(CVE-2023-44487)

  - Undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。バージョン 5.26.2 より前では、Undici はクロスオリジンリダイレクトで Authorization ヘッダーをすでにクリアしていましたが、[Cookie] ヘッダーはクリアしていませんでした。設計上、[cookie] ヘッダーは禁止されたリクエストヘッダーであり、ブラウザ環境では RequestInit.headers で設定できません。undici は仕様よりも自由にヘッダーを処理するため、仕様が行った想定と、undici のフェッチの実装との間に断絶がありました。このため、サードパーティのサイトに誤ってクッキーが漏洩したり、リダイレクトターゲットを制御できる悪質な攻撃者 (オープンリダイレクターなど) がクッキーをサードパーティのサイトに漏洩したりする可能性があります。これはバージョン 5.26.2 でパッチが適用されました。既知の回避策はありません。(CVE-2023-45143)

  - インポートされた WebAssembly モジュールのエクスポート名を悪意を持って細工することで、JavaScript コードを注入できます。注入されたコードは、あたかも WebAssembly モジュールが JavaScript モジュールであるかのように、WebAssembly モジュール自体がアクセスできないデータや機能にアクセスできる可能性があります。影響: この問題を報告してくれた dittyroma 氏に、および修正してくれた Tobias Nieen 氏に感謝の意を表します。(CVE-2023-39333)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 37 ホストには、FEDORA-2023-f66fc0f62a のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Node.js のポリシー機能が信頼できるマニフェストに対してリソースの整合性をチェックするとき、アプリケーションが操作を傍受し、偽造されたチェックサムをノードのポリシー実装に返すため、整合性チェックを効果的に無効にする可能性があります。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーメカニズムは Node.js の実験的な機能です。(CVE-2023-38552)

  - コミット 205f1e6 では、以前に開示された脆弱性 (CVE-2023-30584) はパッチが不十分でした。この実装は、アプリケーションが組み込みのユーティリティ関数をユーザー定義の実装で上書きすることを防いでいないため、新しいパストラバーサルの脆弱性が発生します。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。(CVE-2023-39331)

  - さまざまな「node:fs」関数では、文字列または「Uint8Array」オブジェクトとしてパスを指定できます。Node.js 環境では、[Buffer] クラスが [Uint8Array] クラスを拡張します。Node.js は、文字列 (CVE-2023-30584 を参照) および [Buffer] オブジェクト (CVE-2023-32004 を参照) を通じたパストラバーサルを防止しますが、[Buffer] [Uint8Array] 以外のオブジェクトを通じたパストラバーサルは防止しません。これは、「Buffer」オブジェクトのみを参照していた CVE-2023-32004 とは異なります。
    ただし、この脆弱性は [Buffer] の代わりに [Uint8Array] を使っても同じパターンになります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。
    (CVE-2023-39332)

  - HTTP/2 プロトコルでは、リクエストのキャンセルによって多数のストリームを迅速にリセットできるため、サービス拒否 (サーバーリソースの消費) を引き起こすことができます。これは、2023 年 8 月から 10 月まで、野放しで悪用されていました。(CVE-2023-44487)

  - Undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。バージョン 5.26.2 より前では、Undici はクロスオリジンリダイレクトで Authorization ヘッダーをすでにクリアしていましたが、[Cookie] ヘッダーはクリアしていませんでした。設計上、[cookie] ヘッダーは禁止されたリクエストヘッダーであり、ブラウザ環境では RequestInit.headers で設定できません。undici は仕様よりも自由にヘッダーを処理するため、仕様が行った想定と、undici のフェッチの実装との間に断絶がありました。このため、サードパーティのサイトに誤ってクッキーが漏洩したり、リダイレクトターゲットを制御できる悪意のある攻撃者 (オープンリダイレクターなど) がクッキーをサードパーティのサイトに漏洩したりする可能性があります。これはバージョン 5.26.2 でパッチが適用されました。既知の回避策はありません。(CVE-2023-45143)

  - インポートされた WebAssembly モジュールのエクスポート名を悪意を持って細工することで、JavaScript コードを注入できます。注入されたコードは、あたかも WebAssembly モジュールが JavaScript モジュールであるかのように、WebAssembly モジュール自体がアクセスできないデータや機能にアクセスできる可能性があります。影響: この問題を報告してくれた dittyroma 氏に、および修正してくれた Tobias Nieen 氏に感謝の意を表します。(CVE-2023-39333)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2023:7205 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - nodejs: ポリシーに従った整合性チェックが回避される可能性があります (CVE-2023-38552)

  - nodejs: アクセス許可モデルがパストラバーサルに対して不適切に保護しています (CVE-2023-39331)

  - nodejs: Uint8Array に保存されているパスを通過するパストラバーサル (CVE-2023-39332)

  - nodejs: WebAssembly エクスポート名によるコードインジェクション (CVE-2023-39333)

  - HTTP/2: 複数の HTTP/2 が有効な Web サーバーが、DDoS 攻撃 (Rapid Reset 攻撃) に対して脆弱です (CVE-2023-44487)

  - node-undici: クッキーの漏洩 (CVE-2023-45143)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 39 ホストには、FEDORA-2023-7b52921cae のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Node.js のポリシー機能が信頼できるマニフェストに対してリソースの整合性をチェックするとき、アプリケーションが操作を傍受し、偽造されたチェックサムをノードのポリシー実装に返すため、整合性チェックを効果的に無効にする可能性があります。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。18.x および 20.x。注意: この CVE が発行された時点では、このポリシーメカニズムは Node.js の実験的な機能です。(CVE-2023-38552)

  - コミット 205f1e6 では、以前に開示された脆弱性 (CVE-2023-30584) はパッチが不十分でした。この実装は、アプリケーションが組み込みのユーティリティ関数をユーザー定義の実装で上書きすることを防いでいないため、新しいパストラバーサルの脆弱性が発生します。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。(CVE-2023-39331)

  - さまざまな [node: fs] 関数では、文字列または [Uint8Array] オブジェクトとしてパスを指定できます。Node.js 環境では、[Buffer] クラスが [Uint8Array] クラスを拡張します。Node.js は、文字列 (CVE-2023-30584 を参照) および [Buffer] オブジェクト (CVE-2023-32004 を参照) を通じたパストラバーサルを防止しますが、[Buffer] [Uint8Array] 以外のオブジェクトを通じたパストラバーサルは防止しません。これは、「Buffer」オブジェクトのみを参照していた CVE-2023-32004 とは異なります。
    ただし、この脆弱性は [Buffer] の代わりに [Uint8Array] を使っても同じパターンになります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。
    (CVE-2023-39332)

  - HTTP/2 プロトコルでは、リクエストのキャンセルによって多数のストリームを迅速にリセットできるため、サービス拒否 (サーバーリソースの消費) を引き起こすことができます。これは、2023 年 8 月から 10 月まで、野放しで悪用されていました。(CVE-2023-44487)

  - Undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。バージョン 5.26.2 より前では、Undici はクロスオリジンリダイレクトで Authorization ヘッダーをすでにクリアしていましたが、[Cookie] ヘッダーはクリアしていませんでした。設計上、[cookie] ヘッダーは禁止されたリクエストヘッダーであり、ブラウザ環境では RequestInit.headers で設定できません。undici は仕様よりも自由にヘッダーを処理するため、仕様が行った想定と、undici のフェッチの実装との間に断絶がありました。このため、サードパーティのサイトに誤ってクッキーが漏洩したり、リダイレクトターゲットを制御できる悪意のある攻撃者 (オープンリダイレクターなど) がクッキーをサードパーティのサイトに漏洩したりする可能性があります。これはバージョン 5.26.2 でパッチが適用されました。既知の回避策はありません。(CVE-2023-45143)

  - インポートされた WebAssembly モジュールのエクスポート名を悪意を持って細工することで、JavaScript コードを注入できます。注入されたコードは、あたかも WebAssembly モジュールが JavaScript モジュールであるかのように、WebAssembly モジュール自体がアクセスできないデータや機能にアクセスできる可能性があります。影響: この問題を報告してくれた dittyroma 氏に、および修正してくれた Tobias Nieen 氏に感謝の意を表します。(CVE-2023-39333)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Oracle Linux 8 ホストに、ELSA-2023-7205 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - さまざまな [node: fs] 関数では、文字列または [Uint8Array] オブジェクトとしてパスを指定できます。Node.js 環境では、[Buffer] クラスが [Uint8Array] クラスを拡張します。Node.js は、文字列 (CVE-2023-30584 を参照) および [Buffer] オブジェクト (CVE-2023-32004 を参照) を通じたパストラバーサルを防止しますが、[Buffer] [Uint8Array] 以外のオブジェクトを通じたパストラバーサルは防止しません。これは、「Buffer」オブジェクトのみを参照していた CVE-2023-32004 とは異なります。
    ただし、この脆弱性は [Buffer] の代わりに [Uint8Array] を使っても同じパターンになります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。
    (CVE-2023-39332)

  - Undici は、Node.js 用にゼロから書かれた HTTP/1.1 クライアントです。バージョン 5.26.2 より前では、Undici はクロスオリジンリダイレクトで Authorization ヘッダーをすでにクリアしていましたが、[Cookie] ヘッダーはクリアしていませんでした。設計上、[cookie] ヘッダーは禁止されたリクエストヘッダーであり、ブラウザ環境では RequestInit.headers で設定できません。undici は仕様よりも自由にヘッダーを処理するため、仕様が行った想定と、undici のフェッチの実装との間に断絶がありました。このため、サードパーティのサイトに誤ってクッキーが漏洩したり、リダイレクトターゲットを制御できる悪意のある攻撃者 (オープンリダイレクターなど) がクッキーをサードパーティのサイトに漏洩したりする可能性があります。これはバージョン 5.26.2 でパッチが適用されました。既知の回避策はありません。(CVE-2023-45143)

  - Node.js のポリシー機能が信頼できるマニフェストに対してリソースの整合性をチェックするとき、アプリケーションが操作を傍受し、偽造されたチェックサムをノードのポリシー実装に返すため、整合性チェックを効果的に無効にする可能性があります。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。18.x および 20.x。注意: この CVE が発行された時点では、このポリシーメカニズムは Node.js の実験的な機能です。(CVE-2023-38552)

  - インポートされた WebAssembly モジュールのエクスポート名を悪意を持って細工することで、JavaScript コードを注入できます。注入されたコードは、あたかも WebAssembly モジュールが JavaScript モジュールであるかのように、WebAssembly モジュール自体がアクセスできないデータや機能にアクセスできる可能性があります。影響: この問題を報告してくれた dittyroma 氏に、および修正してくれた Tobias Nieen 氏に感謝の意を表します。(CVE-2023-39333)

  - HTTP/2 プロトコルでは、リクエストのキャンセルによって多数のストリームを迅速にリセットできるため、サービス拒否 (サーバーリソースの消費) を引き起こすことができます。これは、2023 年 8 月から 10 月まで、野放しで悪用されていました。(CVE-2023-44487)

  - コミット 205f1e6 では、以前に開示された脆弱性 (CVE-2023-30584) はパッチが不十分でした。この実装は、アプリケーションが組み込みのユーティリティ関数をユーザー定義の実装で上書きすることを防いでいないため、新しいパストラバーサルの脆弱性が発生します。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。(CVE-2023-39331)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
183390	Node.js 18.x < 18.18.2 / 20.x < 20.8.1 の複数の脆弱性 (2023 年 10 月 13 日金曜日のセキュリティリリース)。	Nessus	Misc.	2023/10/19	2024/2/23	critical
183909	Fedora 38 : nodejs20 (2023-4d2fd884ea)	Nessus	Fedora Local Security Checks	2023/10/26	2024/11/14	critical
186401	Rocky Linux 8 : nodejs:20 (RLSA-2023:7205)	Nessus	Rocky Linux Local Security Checks	2023/11/28	2024/2/9	critical
183908	Fedora 37 : nodejs20 (2023-f66fc0f62a)	Nessus	Fedora Local Security Checks	2023/10/26	2024/11/14	critical
185689	RHEL 8 : nodejs:20 (RHSA-2023:7205)	Nessus	Red Hat Local Security Checks	2023/11/14	2025/3/6	critical
185303	Fedora 39 : nodejs20 (2023-7b52921cae)	Nessus	Fedora Local Security Checks	2023/11/7	2024/11/14	critical
186197	Oracle Linux 8 : nodejs: 20 (ELSA-2023-7205)	Nessus	Oracle Linux Local Security Checks	2023/11/22	2024/10/23	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical