# 2017年10月24日、バージョン6.11.5 'Boron'（LTS）、@MylesBorins

これはセキュリティリリースです。すべてのNode.jsユーザーは、パッチが適用された脆弱性の詳細について、https://nodejs.org/en/blog/vulnerability/oct-2017-dos/にあるセキュリティリリースサマリーを参照する必要があります。

## 重要な変更点

  - zlib：

  - CVE-2017-14919 - zlib v1.2.9では、未加工のデフレートストリームがwindowBitsを8に設定して初期化されたときにエラーを発生させる変更が行われました。バージョンによっては、これにより、ノードがクラッシュしてそこから回復できなくなったり、例外がスローされたりします。
    Node.jsは、windowBitsを9に設定して、DOSベクトルを回避するための従来の動作を継承するようになりました。
    nodejs-private/node-private#95

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このnodejs6用の更新プログラムでは、次の問題が修正されています：修正されたセキュリティ問題：

  - CVE-2017-15896：埋め込みOpenSSLによりCVE-2017-3737に脆弱です（bsc#1072322）。

  - CVE-2017-14919：埋め込みzlibの問題により、特定のwindowBits値を介してDoSが引き起こされる可能性があります。

  - CVE-2017-3738：埋め込みOpenSSLは、x86_64のrsaz_1024_mul_avx2のオーバーフローバグに脆弱です。

  - CVE-2017-3736：埋め込みOpenSSLは、x86_64のbn_sqrx8x_internalキャリーバグに脆弱です（bsc#1066242）。

  - CVE-2017-3735：埋め込みOpenSSLは、OOB読み取りを引き起こす可能性がある不正なX.509 IPAdressFamilyに脆弱です（bsc#1056058）。バグ修正：

  - LTSリリース 6.12.2への更新（bsc#1072322）：
    https://nodejs.org/en/blog/vulnerability/december-2017-security-releases/

  -https://nodejs.org/en/blog/release/v6.12.2/

  -https://nodejs.org/en/blog/release/v6.12.1/

  -https://nodejs.org/en/blog/release/v6.12.0/

  -https://nodejs.org/en/blog/release/v6.11.5/

  -https://nodejs.org/en/blog/release/v6.11.4/

  -https://nodejs.org/en/blog/release/v6.11.3/

  -https://nodejs.org/en/blog/release/v6.11.2/

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このnodejs4の更新では、以下の問題を修正します：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2017-15896：埋め込みOpenSSLによりCVE-2017-3737に脆弱です（bsc#1072322）。

  - CVE-2017-14919：埋め込みzlibの問題により、特定のwindowBits値を介してDoSが引き起こされる可能性があります。

  - CVE-2017-3738：埋め込みOpenSSLは、x86_64のrsaz_1024_mul_avx2のオーバーフローバグに脆弱です。

  - CVE-2017-3736：埋め込みOpenSSLは、x86_64のbn_sqrx8x_internalキャリーバグに脆弱です（bsc#1066242）。

  - CVE-2017-3735：埋め込みOpenSSLは、OOB読み取りを引き起こす可能性がある不正なX.509 IPAdressFamilyに脆弱です（bsc#1056058）。

バグ修正：

  リリース 4.8.7への更新（bsc#1072322）：

  -https://nodejs.org/en/blog/vulnerability/december-2017-security-releases/

  -https://nodejs.org/en/blog/release/v4.8.7/

  -https://nodejs.org/en/blog/release/v4.8.6/

  -https://nodejs.org/en/blog/release/v4.8.5/

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

このnodejs6の更新では、以下の問題を修正します：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2017-15896：埋め込みOpenSSLによりCVE-2017-3737に脆弱です（bsc#1072322）。

  - CVE-2017-14919：埋め込みzlibの問題により、特定のwindowBits値を介してDoSが引き起こされる可能性があります。

  - CVE-2017-3738：埋め込みOpenSSLは、x86_64のrsaz_1024_mul_avx2のオーバーフローバグに脆弱です。

  - CVE-2017-3736：埋め込みOpenSSLは、x86_64のbn_sqrx8x_internalキャリーバグに脆弱です（bsc#1066242）。

  - CVE-2017-3735：埋め込みOpenSSLは、OOB読み取りを引き起こす可能性がある不正なX.509 IPAdressFamilyに脆弱です（bsc#1056058）。

バグ修正：

  LTSリリース 6.12.2への更新（bsc#1072322）：

  -https://nodejs.org/en/blog/vulnerability/december-2017-security-releases/

  -https://nodejs.org/en/blog/release/v6.12.2/

  -https://nodejs.org/en/blog/release/v6.12.1/

  -https://nodejs.org/en/blog/release/v6.12.0/

  -https://nodejs.org/en/blog/release/v6.11.5/

  -https://nodejs.org/en/blog/release/v6.11.4/

  -https://nodejs.org/en/blog/release/v6.11.3/

  -https://nodejs.org/en/blog/release/v6.11.2/

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

Node.jsによる報告: 

Node.jsは、zlib v1.2.9の一部として行われた変更が原因で、リモートDoS攻撃に対して脆弱でした。zlib v1.2.9では、8がwindowBitsパラメーターの無効な値になり、Nodeのzlibモジュールがクラッシュしたり、例外をスローしたりします（バージョンによって異なる）。

このnodejs4用の更新プログラムでは、次の問題が修正されています：修正されたセキュリティ問題：

  - CVE-2017-15896：埋め込みOpenSSLによりCVE-2017-3737に脆弱です（bsc#1072322）。

  - CVE-2017-14919：埋め込みzlibの問題により、特定のwindowBits値を介してDoSが引き起こされる可能性があります。

  - CVE-2017-3738：埋め込みOpenSSLは、x86_64のrsaz_1024_mul_avx2のオーバーフローバグに脆弱です。

  - CVE-2017-3736：埋め込みOpenSSLは、x86_64のbn_sqrx8x_internalキャリーバグに脆弱です（bsc#1066242）。

  - CVE-2017-3735：埋め込みOpenSSLは、OOB読み取りを引き起こす可能性がある不正なX.509 IPAdressFamilyに脆弱です（bsc#1056058）。バグ修正：

  - リリース4.8.7への更新（bsc#1072322）：
    https://nodejs.org/en/blog/vulnerability/december-2017-security-releases/

  -https://nodejs.org/en/blog/release/v4.8.7/

  -https://nodejs.org/en/blog/release/v4.8.6/

  -https://nodejs.org/en/blog/release/v4.8.5/

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
104450	Fedora 25：1：nodejs（2017-c582c1e728）	Nessus	Fedora Local Security Checks	2017/11/8	2021/1/6	high
120014	SUSE SLES12セキュリティ更新プログラム：nodejs6 (SUSE-SU-2018:0293-1)	Nessus	SuSE Local Security Checks	2019/1/2	2020/3/23	critical
105638	openSUSEセキュリティ更新プログラム：nodejs4（openSUSE-2018-5）	Nessus	SuSE Local Security Checks	2018/1/8	2021/1/19	critical
106547	openSUSEセキュリティ更新プログラム：nodejs6（openSUSE-2018-116）	Nessus	SuSE Local Security Checks	2018/2/1	2021/1/19	critical
104198	FreeBSD：Node.js -- リモートDOSセキュリティの脆弱性（d7d1cc94-b971-11e7-af3a-f1035dd0da62）	Nessus	FreeBSD Local Security Checks	2017/10/27	2021/1/4	high
120012	SUSE SLES12セキュリティ更新プログラム：nodejs4 (SUSE-SU-2018:0002-1)	Nessus	SuSE Local Security Checks	2019/1/2	2020/3/23	critical

検出

プラグインの検索

high

critical

critical

critical

high

critical