nghttp2ブログ:

ALTSVCフレームがlibnghttp2によって受信され、それが受け入れ可能なサイズよりも大きい場合、ALTSVCフレームペイロードを指すポインターフィールドがNULLのままになります。その後、libnghttp2はそのポインターを通じて別のフィールドにアクセスしようとし、セグメンテーション違反になります。

ALTSVCフレームはRFC 7838で定義されています。

libnghttp2が受け入れる最大フレームサイズは、デフォルトで16384バイトです。

ALTSVCフレームの受信はデフォルトで無効になっています。アプリケーションは、nghttp2_option_set_builtin_recv_extension_type(opt, NGHTTP2_ALTSVC)を呼び出することによって、明示的にそれを有効にする必要があります。

ALTSVCの送信は常に有効になっており、この脆弱性を引き起こすことはありません。

RFC 7838で定義されているように、ALTSVCフレームはサーバーによって送信され、クライアントによって受信されることが期待されています。

ALTSVCフレームの受信が有効な場合、クライアントとサーバーの両方がこの脆弱性の影響を受けます。前述のように、サーバー側でALTSVCフレームの受信を有効にしても役に立ちません。このため、アプリケーションが誤ってALTSVCフレームの受信を有効にするのでない限り、一般にサーバーは安全です。

このnodejs8のバージョン8.11.3への更新では、次の問題を修正します：
これらのセキュリティの問題が修正されました：

  - CVE-2018-7167：一部のパラメーターを指定したBuffer.fill()またはBuffer.alloc()を呼び出すとハングアップが発生する可能性があり、これによりDoSが引き起こされる能性がありました（bsc#1097375）。

  - CVE-2018-7161：http2サーバーとの対話処理が、オブジェクトが使用できなくなった後にネイティブコードで使用されるクリーンアップのバグを発生させるような方法で行われることで、攻撃者がhttp2サーバーを提供するノードサーバーをクラッシュさせ、サービス拒否（DoS）を引き起こすことが可能でした（bsc#1097404）。☆

  - CVE-2018-1000168：nghttp2のバンドル解除によるサービス拒否の脆弱性を修正しました（bsc#1097401）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートホストにインストールされているNode.jsのバージョンは、6.14.3より前の6.x、8.11.3より前の8.x、9.11.2より前の9.x、または10.4.1より前の10.xです。したがって、複数の脆弱性の影響を受けます。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このnghttp2の更新では、次の問題を修正します:

キャッシュサイドチャネル攻撃の軽減:

CVE-2020-11080: HTTP/2 の大きな Settings フレームの DoS (bsc#1181358)。

CVE-2019-9513: サービス拒否につながる可能性のあるリソースループに対して脆弱なHTTP/2実装を修正しました(bsc#1146184)。

CVE-2019-9511: ウィンドウサイズの操作やストリーム優先度の操作に対して脆弱であり、サービス拒否を引き起こす可能性のあるHTTP/2実装を修正しました(bsc#1146182)。

CVE-2018-1000168: ALTSVC フレームのクライアント側サービス拒否を修正しました (bsc#1088639)。

CVE-2016-1544: 無制限の着信 HTTP ヘッダーフィールドによるメモリ不足を修正しました (bsc#966514)。

バグ修正と拡張機能:

パッケージはライセンスファイルを %doc としてマークできません (bsc#1082318)

libnghttp2_asio1 の説明の誤字 (bsc#962914)

specファイルの誤りを修正しました(bsc#1125689)

boost 1.70.0でのビルドの問題を修正しました(bsc#1134616)

GCC 6 でビルドの問題を修正しました (bsc#964140)

機能: W＆Sモジュールを追加します(FATE#326776、bsc#1112438)

注意:Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenable では、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

nghttp2バージョン1.10.0以降およびnghttp2 v1.31.0以前にはALTSVCフレーム処理における不適切な入力検証CWE-20の脆弱性が含まれているため、サービス拒否につながるセグメンテーション違反が発生する可能性があります。この攻撃は、ネットワーククライアント経由で悪用される可能性があるようです。この脆弱性は1.31.1以降では修正されていると見られます。（CVE-2018-1000168）

RHEL 6およびRHEL 7対応のJBoss Core Servicesで更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Core Servicesは、Red Hat JBossミドルウェア製品の補足ソフトウェアのセットです。Apache HTTP Serverなどのこのソフトウェアは複数のJBossミドルウェア製品に共通であり、Red Hat JBoss Core Servicesとしてパッケージ化され、更新プログラムの迅速な配信やより一貫した更新が可能です。Red Hat JBoss Core Services Apache HTTP Server 2.4.29 Service Pack 1のこのリリースは、Red Hat JBoss Core Services Apache HTTP Server 2.4.29の更新プログラムとして機能し、「参照」セクションにリンクされたCVEのバグ修正プログラムが含まれています。セキュリティ修正プログラム：* httpd：継続的SETTINGSによるHTTP/2接続のDoS（CVE-2018-11763）* httpd：mod_auth_digestでのWeak Digest認証ノンス（CVE-2018-1312）* httpd：HTTPリクエストの読み取り失敗後の領域外アクセス（CVE-2018-1301）* httpd：HTTP/2ストリームシャットダウンでのメモリ解放後使用（use-after-free）（CVE-2018-1302）* httpd：ファイル名のtrailing newlineを使用したバイパス（CVE-2017-15715）* httpd：過小なAccept-Language値を使用するときのmod_authnz_ldapでの領域外書込み（CVE-2017-15710）* httpd：mod_cache_socacheでの領域外読み取りによってリモートの攻撃者がサービス拒否を引き起こす可能性があります（CVE-2018-1303）* httpd：mod_sessionでヘッダーが不適切に処理されるため、リモートのユーザーがCGIアプリケーションのセッションデータを変更する可能性があります（CVE-2018-1283）* httpd：mod_http2：ワーカーに割り当てられた時間が過多のためDoSが生じる可能性があります（CVE-2018-1333）* mod_jk：httpdでHTTPリクエストが不適切に処理されることによるコネクタパストラバーサル（CVE-2018-11759）* nghttp2：過大なALTSVCフレームを受信するときのNULLポインターデリファレンス（CVE-2018-1000168）* openssl：細工された再帰的なASN.1ストラクチャの処理でスタックオーバーフローが発生し、サービス拒否につながる可能性があります（CVE-2018-0739）CVEに関する情報、問題の重大性、CVSSスコアを含む各問題の詳細については、以下の「参照」セクションに記載されているCVEのページを参照してください。

Node.js による報告：HTTP/2でのサービス拒否の脆弱性（CVE-2018-7161）8.x以降のすべてのバージョンは脆弱であり、重要度は「高」です。攻撃者が、http2サーバーを提供するノードサーバーをクラッシュさせることで、サービス拒否（DoS）を引き起こす可能性があります。これは、オブジェクトが使用できなくなった後にネイティブコードで使用されるクリーンアップのバグを発生させる方法で、http2サーバーとやり取りすることで実現できます。これは、http2実装を更新することで対処されています。この問題を報告してくれたF5 NetworksのJordan Zebor氏に感謝の意を表します。サービス拒否、nghttp2の依存関係（CVE-2018-1000168）9.x以降のすべてのバージョンは脆弱であり、重要度は「高」です。特定の状況で、悪意のあるクライアントが、無効な形式のALTSVCフレームを送信することで、初期化されていない読み取り（およびその後のセグメンテーション違反）を引き起こす可能性があります。これは、nghttp2を更新することで対処されています。TLSのサービス拒否の脆弱性（CVE-2018-7162）9.x以降のすべてのバージョンは脆弱であり、重要度は「高」です。攻撃者が、TLSサーバーをサポートするhttpサーバーを提供するノードプロセスをクラッシュさせることで、サービス拒否（DoS）を引き起こす可能性があります。これは、ハンドシェイク中に重複/予期しないメッセージを送信することで実現できます。この脆弱性は、TLS実装を更新することで対処されています。F5 NetworksのJordan Zebor氏に感謝の意を表します。Node.jsチームとのこの問題の調査に協力してくれました。v9.x（CVE-2018-7164）バージョン9.7.0以降のメモリ枯渇DoSは脆弱であり、重要度は「中」です。9.7.0で導入されたバグにより、ネットワークからnet.Socketオブジェクトをストリームとして直接使用するJavaScriptに読み込むときに消費されるメモリが増加します。攻撃者がこれを利用して、小さなチャンクのデータを連続して送信することで、サービス拒否を引き起こす可能性があります。この脆弱性は、以前の動作に戻すことで復元されました。Buffer.fill()および/またはBuffer.alloc()の呼び出しがハングアップする可能性があります（CVE-2018-7167）一部のパラメーターでBuffer.fill()またはBuffer.alloc()を呼び出すと、ハングアップが発生し、サービス拒否を引き起こす可能性があります。この脆弱性に対処するために、Buffer.alloc()とBuffer.fill()の実装が更新され、これらの場合にハングするのではなくゼロ充填するようになりました。

- 最新のUpstreamリリースに更新してください（CVE-2018-1000168を修正します）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このnodejs8のバージョン8.11.3への更新では、次の問題が修正されます：

これらのセキュリティの問題が修正されました：

  - CVE-2018-7167：一部のパラメーターを指定したBuffer.fill()またはBuffer.alloc()を呼び出すとハングアップが発生する可能性があり、これによりDoSが引き起こされる能性がありました（bsc#1097375）。

  - CVE-2018-7161：オブジェクトが利用できなくなった後に、ネイティブコードでそれらのオブジェクトが使用されるというクリーンアップのバグを発生させる方法で、攻撃者がhttp2サーバーと対話することにより、http2サーバーを提供するノードサーバーをクラッシュさせ、サービス拒否（DoS）を引き起こすことが可能でした（bsc#1097404）。

  - CVE-2018-1000168：nghttp2のバンドル解除によるサービス拒否の脆弱性を修正しました（bsc#1097401）

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

nodejs8バージョン8.11.3への更新プログラムでは、以下の問題が修正されています：

以下のセキュリティの問題が修正されました：

  - CVE-2018-7167：一部のパラメーターを指定したBuffer.fill()またはBuffer.alloc()を呼び出すとハングアップが発生する可能性があり、これによりDoSが引き起こされる能性がありました（bsc#1097375）。

  - CVE-2018-7161：オブジェクトが利用できなくなった後に、ネイティブコードでそれらのオブジェクトが使用されるというクリーンアップのバグを発生させる方法で、攻撃者がhttp2サーバーと対話することにより、http2サーバーを提供するノードサーバーをクラッシュさせ、サービス拒否（DoS）を引き起こすことが可能でした（bsc#1097404）。

  - CVE-2018-1000168：nghttp2のバンドル解除によるサービス拒否の脆弱性を修正しました（bsc#1097401）

この更新プログラムは、SUSE: SLE-15: Update更新プロジェクトからインポートされました。

リモートのDebian 9ホストには、dla-2786のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - nghttp2バージョン>= 1.10.0およびnghttp2 <= v1.31.0には、ALTSVCフレーム処理における不適切な入力検証CWE-20の脆弱性が含まれているため、サービス拒否につながるセグメンテーション違反が発生する可能性があります。
    この攻撃は、ネットワーククライアント経由で悪用される可能性があるようです。この脆弱性は1.31.1以降では修正されていると見られます。（CVE-2018-1000168）

  - バージョン1.41.0より前のnghttp2では、過大なHTTP/2 SETTINGSフレームペイロードが原因でサービス拒否が発生します。
    概念実証攻撃は、悪意のあるクライアントが14,400バイト（2400個の設定エントリ）の長さのSETTINGSフレームを繰り返し構築します。この攻撃により、CPUの使用率が100％に急上昇します。nghttp2 v1.41.0で、この脆弱性が修正されます。この脆弱性には回避策があります。nghttp2_on_frame_recv_callbackコールバックを実装し、受信したフレームがSETTINGSフレームで設定エントリの数が大きい（32を超える）場合は、接続をドロップします。（CVE-2020-11080）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
109050	FreeBSD : nghttp2 -- ポインターデリファレンスによるサービス拒否（1fccb25e-8451-438c-a2b9-6a021e4d7a31）	Nessus	FreeBSD Local Security Checks	2018/4/16	2018/11/10	high
120038	SUSE SLES15セキュリティ更新プログラム：nodejs8 (SUSE-SU-2018:1918-1)	Nessus	SuSE Local Security Checks	2019/1/2	2020/3/20	high
118957	Node.jsの複数の脆弱性（2018年7月のセキュリティリリース）	Nessus	Misc.	2018/11/14	2024/1/9	high
148164	SUSE SLES12 セキュリティ更新プログラム : nghttp2(SUSE-SU-2021:0932-1)(Data Dribble)(Resource Loop)	Nessus	SuSE Local Security Checks	2021/3/26	2024/1/8	high
110193	Amazon Linux 2：nghttp2（ALAS-2018-1020）	Nessus	Amazon Linux Local Security Checks	2018/5/30	2018/8/31	high
122292	RHEL 6/7：Red Hat JBoss Core Services Apache HTTP Server 2.4.29（RHSA-2019:0367）	Nessus	Red Hat Local Security Checks	2019/2/19	2020/2/12	critical
110539	FreeBSD: node.js -- 複数の脆弱性（45b8e2eb-7056-11e8-8fab-63ca6e0e13a2）	Nessus	FreeBSD Local Security Checks	2018/6/15	2018/11/10	high
120750	Fedora 28：nghttp2（2018-bdefa5e5bb）	Nessus	Fedora Local Security Checks	2019/1/3	2021/1/6	high
123217	openSUSEセキュリティ更新プログラム：nodejs8 (openSUSE-2019-513)	Nessus	SuSE Local Security Checks	2019/3/27	2021/1/19	high
109226	Fedora 27：nghttp2（2018-cec96a9c41）	Nessus	Fedora Local Security Checks	2018/4/23	2021/1/6	high
111095	openSUSEセキュリティ更新プログラム：nodejs8（openSUSE-2018-724）	Nessus	SuSE Local Security Checks	2018/7/16	2021/1/19	high
154195	Debian DLA-2786-1：nghttp2 - LTSセキュリティ更新	Nessus	Debian Local Security Checks	2021/10/17	2022/12/5	high

検出

プラグインの検索

high

high

high

high

high

critical

high

high

high

high

high

high