リモートホストにインストールされている Node.js のバージョンは、14.20.1、16.17.1、18.9.1より前のものです。したがって、2022 年 9 月 23 日のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - CVE-2022-32212 の修正では、ルーティング可能な IP アドレスのケースがカバーされましたが、http://0.0.0.0 URL を処理する際に macOS デバイスに特定の動作が存在するため、攻撃者が制御する DNS サーバーが、.local ドメインのホストを解決することによって、DNS 再バインド保護をバイパスします。攻撃者が制御する DNS サーバーが <Computer Name>.local を任意の IP アドレスに解決し、被害者のブラウザに http://0.0.0.0で任意のコンテンツをロードさせる可能性があります。これにより、攻撃者は DNS 再バインド保護をバイパスできます。この脆弱性を報告してくれた Zeyu Zhang 氏 (@ zeyu2001) に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。影響: (CVE-2022-32212)

  - CVE-2022-32215の修正が不完全なため、Node.js v16.16.0 および 18.7.0の http モジュールの llhttp パーサーが依然として複数行の Transfer-Encoding ヘッダーを適切に処理しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。この脆弱性を報告してくれた JFrog CSO チームの Liav Gutman 氏に感謝の意を表します。また、この問題を修正してくれた Paolo Insogna 氏に感謝の意を表します。影響: (CVE-2022-32215)

  - CVE-2022-32213の修正は、Node.js HTTP パーサーがサポートする obs-fold を使用してバイパスされる可能性があります。Node.js HTTP モジュールがプロキシとして使用されている場合、チャンクされたリクエストを示すものとして 　transfer-encoding ヘッダーを誤って解析します。その場合ヘッダーが折りたたまれ、Transfer-Encoding:chunked abc を転送していますが、これは有効な transfer-encoding ヘッダーではなく、ダウンストリーム サーバーに送信されます。このため、CVE-2022-32213 で示されているように、HTTP リクエストのスマグリングが発生する可能性があります。この脆弱性を報告してくれた Haxatron に感謝の意を表します。
    影響: (CVE-2022-32213)

  - Node.js v18.7.0 の http モジュールの llhttp パーサーが、CLRF で終了しないヘッダーフィールドを正しく処理しません。これにより、HTTP リクエストスマグリングが発生する可能性があります。この脆弱性を報告してくれた VVX7 に感謝の意を表します。影響: (CVE-2022-35256)

  - Node.js 18 以降では、起動時に、プロセスが通常は存在しない /home/iojs/build/ws/out/Release/obj.target/deps/openssl/openssl.cnf を MacOS で読み取ろうとします。攻撃者は、自己選択したユーザー名 (iojs) で他のユーザーの OpenSSF 構成に影響を与えることができる共有 MacOS ホストにアクセスできる攻撃者である可能性があります。この脆弱性を報告 (修正も!) してくれた Michael Dawson 氏に感謝の意を表します。影響: (CVE-2022-32222)

  - Node.js は以下で EntropySource() を呼び出していました。SecretKeyGenTraits: : DoKeyGen() in src/crypto/crypto_keygen.cc。
    ただし、戻り値はチェックされません。EntropySource() は常に成功することを前提としていますが、失敗する可能性があります (しばしば失敗します)。この脆弱性を報告 (修正も!) してくれた Ben Noordhuis 氏に感謝の意を表します。影響:
    (CVE-2022-35255)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、b9210706-feb0-11ec-81fa-1c697a616631 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - AES-NI アセンブリ最適化実装を使用する 32 ビット x86 プラットフォームの AES OCB モードは、一部の状況でデータ全体を暗号化しません。これにより、書き込まれなかったメモリに既存の 16 バイトのデータが漏洩する可能性があります。インプレース暗号化の特別なケースでは、平文の 16 バイトが漏洩します。OpenSSL は、TLS および DTLS の OCB ベースの暗号化パッケージをサポートしていないため、どちらも影響を受けません。OpenSSL 3.0.5 で修正されました (3.0.0-3.0.4 が影響を受けました)。OpenSSL 1.1.1q で修正されました (1.1.1-1.1.1p が影響を受けます)。(CVE-2022-2097)

  - Node.js バージョン <14.20.0、<16.20.0、<18.5.0 に OS コマンドインジェクションの脆弱性が存在します。これは、IsIPAddress が DBS リクエストを行う前に IP アドレスが無効かどうかを適切にチェックしないため、容易にバイパスできる IsAllowedHost チェックが不十分なためです。これにより、再バインド攻撃が可能になります。(CVE-2022-32212)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1、および <v18.9.1 が Transfer-Encoding ヘッダーを正しく解析および検証せず、HTTP Request Smuggling (HRS) につながる可能性があります。(CVE-2022-32213)

  - Node.js の http モジュールの <v14.20.1、<v16.17.1 および <v18.9.1 パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。
    (CVE-2022-32214)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1 および <v18.9.1 が、複数行の Transfer-Encoding ヘッダーを適切に処理しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。
    (CVE-2022-32215)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている Node.js のバージョンは、14.20.0、16.16.0、18.5.0より前のものです。したがって、2022 年 7 月のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - http モジュールの llhttp パーサーが、Transfer-Encoding ヘッダーを適切に解析し検証しません。これにより、HTTPリクエストスマグリングが引き起こされる可能性があります (HRS) 。詳細については、公開後に CVE-2022-32213で入手できるようになります。この脆弱性を報告してくれた Zeyu Zhang 氏 (@ zeyu2001) に感謝の意を表します。影響:
    (CVE-2022-32213)

  - http モジュールの llhttp パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。
    これにより、HTTPリクエストスマグリングが引き起こされる可能性があります (HRS) 。詳細については、公開後に CVE-2022-32214で入手できるようになります。この脆弱性を報告してくれた Zeyu Zhang 氏 (@ zeyu2001) に感謝の意を表します。影響:
    (CVE-2022-32214)

  - http モジュールの llhttp パーサーが、複数行の Transfer-Encoding ヘッダーを適切に処理しません。これにより、HTTPリクエストスマグリングが引き起こされる可能性があります (HRS) 。詳細については、公開後に CVE-2022-32215で入手できるようになります。この脆弱性を報告してくれた Zeyu Zhang 氏 (@ zeyu2001) に感謝の意を表します。影響:
    (CVE-2022-32215)

  - IsIPAddress は IP アドレスが無効かどうかを適切にチェックしないため、IsAllowedHost チェックは簡単にバイパスできます。無効な IPv4 アドレスが提供されると ( 10.0.2.555が提供されるなど) 、ブラウザ (Firefox など) が DNS サーバーに DNS リクエストを行い、攻撃者が制御する DNS サーバーまたは MITM にベクトルを提供して、DNS 応答を偽装する可能性があります。再バインド攻撃を実行し、WebSocket デバッガに接続することで、任意コード実行が可能になります。これは CVE-2021-22884のバイパスです。詳細については、公開後に CVE-2022-32212で入手できるようになります。この脆弱性を報告してくれた Axel Chong 氏 に感謝の意を表します。影響: (CVE-2022-32212)

  - 被害者が Windows マシンで次の依存関係を持っている場合、この脆弱性が悪用される可能性があります:
    上記の条件が存在する場合、node.exe は現在のユーザーディレクトリで providers.dll を検索します。その後、node.exe は Windows の DLL Search Order で providers.dll を検索しようとします。
    攻撃者が悪意のあるファイル providers.dll をさまざまなパスに配置し、この脆弱性を悪用する可能性があります。詳細については、公開後に CVE-2022-32223で入手できるようになります。この脆弱性を報告してくれた、Aqua Security の Yakir Kadkoda 氏に感謝の意を表します。影響: 注: Node.js は、環境変数 OPENSSL_CONF を指定するか、コマンドラインオプション --openssl-confを使用することで、OpenSSL 構成ファイルを使用できます。これらのいずれも指定されていない場合は、デフォルトでデフォルトの OpenSSL 構成ファイル openssl.cnf が読み取られます。Node.js は、デフォルトで nodejs_conf という名前のセクションのみを読み取ります。インストールがデフォルトの openssl.cnf ファイルを使用しており、この重大な変更の影響を受ける場合は、以下の方法で以前の動作に戻すことができます：(CVE-2022-32223)

  - Node.js が Linux ベースのシステムで起動すると、通常は存在しない /home/iojs/build/ws/out/Release/obj.target/deps/openssl/openssl.cnf を読み取ろうとします。一部の共有システムでは、攻撃者がこのファイルを作成できるため、他のユーザーのデフォルトの OpenSSL 構成に影響を与える可能性があります。この脆弱性を報告してくれた OpenSSF Alpha-Omega プロジェクトの Michael Scovetta 氏に感謝の意を表します。影響: (CVE-2022-32222)

  - AES-NI アセンブリ最適化実装を使用する 32 ビット x86 プラットフォームの AES OCB モードは、一部の状況でデータ全体を暗号化しません。これにより、書き込まれなかったメモリに既存の 16 バイトのデータが漏洩する可能性があります。インプレース暗号化の特別なケースでは、平文の 16 バイトが漏洩します。OpenSSL は、TLS および DTLS の OCB ベースの暗号化パッケージをサポートしていないため、どちらも影響を受けません。影響: (CVE-2022-2097)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

したがって、ALAS2023-2023-084 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - このパーサーは、コロンの前のヘッダー名の直後にスペース (SP) があるリクエストを受け入れます。このため、llhttp < v2.1.4 および < v6.0.6 での HTTP リクエストスマグリング (HRS) が引き起こされる可能性があります。(CVE-2021-22959)

  - llhttp < 2.1.4および < 6.0.6の解析関数は、チャンクされたリクエストの本文を解析するときに、チャンク拡張を無視します。このため、特定の状況で HTTP リクエストスマグリング (HRS) が発生します。(CVE-2021-22960)

  - ** 異論あり ** package-lock.json の依存関係情報が package.json と異なる場合でも、npm 7.xおよび 8.xから 8.1.3の npm ci コマンドはインストールを続行します。この動作はドキュメントと一致しておらず、package-lock.json の正確なバージョン一致要件によってブロックされているはずのマルウェアを攻撃者がインストールしやすくします。注意:  npm チームは、これは脆弱性ではないと考えています。これには、だれかが package-lock.json とは異なる依存関係を持つ package.json をソーシャルエンジニアリングする必要があります。そのユーザーは、依存関係を変更するためにファイルシステムまたは書き込みアクセス権を持っている必要があります。npm チームによると、悪意のある攻撃者によるソーシャルエンジニアリングやファイルシステムへのアクセスを阻止することは、npm CLI の範囲外です。(CVE-2021-43616)

  - 任意のサブジェクト代替名 (SAN) タイプを受け入れると、PKI が特定の SAN タイプを使用するように明確に定義されていない限り、名前に制約のある中間体がバイパスされる可能性があります。Node.js < 12.22.9, < 14.18.3, < 16.13.2, および < 17.3.1は、URI SAN タイプを受け入れていました。これは、多くの場合、PKI が使用するように定義されていません。
    さらに、プロトコルが URI SAN を許可している場合、Node.js は URI を正しく一致させませんでした。これを修正した Node.js のバージョンは、ホスト名に対して証明書をチェックするときに URI SAN タイプを無効にします。この動作は、--security-revertコマンドラインオプションで元に戻すことができます。(CVE-2021-44531)

  - Node.js < 12.22.9, < 14.18.3, < 16.13.2, および < 17.3.1は、SAN (Subject Alternative Names) を文字列形式に変換します。この文字列を使用して、接続を検証する際にホスト名に対してピア証明書をチェックします。証明書チェーン内で名前の制約が使用されると、文字列形式が注入の脆弱性の影響を受け、これらの名前の制約がバイパスされる可能性があります。これを修正した Node.js のバージョンは、インジェクションを防ぐために、問題がある文字を含む SAN をエスケープします。この動作は、--security-revertコマンドラインオプションで元に戻すことができます。(CVE-2021-44532)

  - Node.js < 12.22.9, < 14.18.3, < 16.13.2, および < 17.3.1が複数値の相対識別名を適切に処理しませんでした。攻撃者は、たとえば、証明書サブジェクトの検証をバイパスできる Common Name を注入するために、複数値の Relative Distinguished Name として解釈される単一値の Relative Distinguished Name を含む証明書サブジェクトを作成する可能性があります。影響を受けるバージョンの Node.js は複数値の Relative Distinguished Name を受け入れないため、そのような攻撃自体に対して脆弱ではありません。ただし、証明書サブジェクトのノードの曖昧な表現を使用するサードパーティコードは、脆弱である可能性があります。(CVE-2021-44533)

  - console.table() 関数のフォーマットロジックにより、ユーザー制御の入力をプロパティパラメーターに渡すことはできませんが、最初のパラメーターとして少なくとも 1 つのプロパティを持つプレーンオブジェクトを渡すことは安全ではありません。これは __proto__ である可能性があります。プロトタイプ汚染は、オブジェクトプロトタイプの数値キーに割り当てられる空の文字列のみを許可するという点で、コントロールが非常に制限されています。Node.js >= 12.22.9、>= 14.18.3、>= 16.13.2、および >= 17.3.1はこれらのプロパティが割り当てられている null プロトタイプを使用しています。(CVE-2022-21824)

  - Node.js バージョン <14.20.0、<16.20.0、<18.5.0 に OS コマンドインジェクションの脆弱性が存在します。これは、IsIPAddress が DBS リクエストを行う前に IP アドレスが無効かどうかを適切にチェックしないため、容易にバイパスできる IsAllowedHost チェックが不十分なためです。これにより、再バインド攻撃が可能になります。(CVE-2022-32212)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1、および <v18.9.1 が Transfer-Encoding ヘッダーを正しく解析および検証せず、HTTP Request Smuggling (HRS) につながる可能性があります。(CVE-2022-32213)

  - Node.js の http モジュールの <v14.20.1、<v16.17.1 および <v18.9.1 パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。
    (CVE-2022-32214)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1 および <v18.9.1 が、複数行の Transfer-Encoding ヘッダーを適切に処理しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。
    (CVE-2022-32215)

  - 18.40.0より前の 18.xバージョンの Linux の Node.js に暗号化の脆弱性が存在します。これにより、openssl.cnf のデフォルトパスが、OpenSSL 3 にアップグレードする前のバージョンの場合のように、特定の状況下では /etc/ssl ではなく、管理者以外のユーザーにアクセスされる可能性があります。(CVE-2022-32222)

  - Node.js は Hijack Execution Flow に対して脆弱です。Windows プラットフォームの特定の条件下での DLL ハイジャック。もし被害者が Windows マシンで以下の依存関係にある場合、この脆弱性は悪用される可能性があります。* OpenSSL がインストールされ、C: \Program Files\Common Files\SSL\openssl.cnf が存在します。上記の条件が存在する場合、「node.exe」は現在のユーザーディレクトリで「providers.dll」を検索します。その後、「node.exe」は攻撃者が悪意のあるファイル「providers.dll」をさまざまなパスに配置し、この脆弱性を悪用する可能性があります。(CVE-2022-32223)

  - SecretKeyGenTraits の EntropySource() の変更により Node.js 18 に弱いランダム性の WebCrypto keygen 脆弱性が存在します: : DoKeyGen() の EntropySource() を変更することにより、弱いランダム性が生じる脆弱性が存在します。これには 2 つの問題があります。1) 戻り値をチェックしません。EntropySource() が常に成功することを前提としていますが、失敗する可能性があります (時には失敗します)。2) EntropySource() が返すランダムデータは、暗号学的に強力でない可能性があるため、鍵素材として適切ではありません。(CVE-2022-35255)

  - Node v18.7.0 の http モジュールの llhttp パーサーが、CLRF で終了しないヘッダーフィールドを正しく処理しません。これにより、HTTP リクエストスマグリングが発生する可能性があります。(CVE-2022-35256)

  - X.509 証明書の検証、特に名前の制約のチェックで、バッファオーバーランが発生する可能性があります。これは証明書チェーン署名の検証後に発生し、信頼できる発行者へのパスを構築できないにもかかわらず、CA が悪意のある証明書に署名するか、アプリケーションが証明書の検証を続行する必要があることに注意してください。攻撃者は、悪意のあるメールアドレスを細工して、攻撃者が制御する 4 バイトをスタックでオーバーフローさせる可能性があります。このバッファオーバーフローにより、クラッシュが発生したり (サービス拒否が引き起こされます)、リモートコード実行が発生したりする可能性があります。多くのプラットフォームは、リモートコード実行のリスクを軽減するスタックオーバーフロー保護を実装しています。任意のプラットフォーム / コンパイラのスタックレイアウトに基づいて、リスクがさらに緩和される可能性があります。CVE-2022-3602 のプレアナウンスでは、この問題を「重要度最高」と説明しています。上記の緩和要因のいくつかに基づくさらなる分析により、これは「重要度高」にダウングレードされています。ユーザーには、依然として新しいバージョンへ至急アップグレードすることが推奨されています。TLS クライアントでは、悪意のあるサーバーに接続することでこれが発生する可能性があります。
    TLS サーバーでは、サーバーがクライアント認証をリクエストし、悪意のあるクライアントが接続すると、これが発生する可能性があります。OpenSSL 3.0.7で修正されました (3.0.0、3.0.1、3.0.2、3.0.3、3.0.4、3.0.5、3.0.6 が影響を受けました)。(CVE-2022-3602)

  - X.509 証明書の検証、特に名前の制約のチェックで、バッファオーバーランが発生する可能性があります。これは証明書チェーン署名の検証後に発生し、信頼できる発行者へのパスを構築できないにもかかわらず、CA が悪意のある証明書に署名するか、アプリケーションが証明書の検証を続行する必要があることに注意してください。攻撃者は、証明書の悪意のあるメールアドレスを細工し、スタック上の「。」文字 (10 進数の 46) を含む任意のバイト数をオーバーフローさせる可能性があります。このバッファオーバーフローにより、クラッシュが発生する可能性があります (サービス拒否が引き起こされます)。TLS クライアントでは、悪意のあるサーバーに接続することでこれが発生する可能性があります。TLS サーバーでは、サーバーがクライアント認証をリクエストし、悪意のあるクライアントが接続すると、これが発生する可能性があります。(CVE-2022-3786)

  - Node.js バージョン <14.21.1、<16.18.1、<18.12.1、< 19.0.1に OS コマンドインジェクションの脆弱性が存在します。これは、IsIPAddress が DBS リクエストを行う前に IP アドレスが無効かどうかを適切にチェックしないため、容易にバイパスできる IsAllowedHost チェックが不十分なためです。これにより、再バインド攻撃が可能になります。https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32212 でのこの問題の修正は不完全であり、この新しい CVE は修正を完了するためのものです。(CVE-2022-43548)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
165633	Node.js 14.x < 14.20.1 / 16.x < 16.17.1 / 18.x < 18.9.1 の複数の脆弱性 (2022 年 9 月 23 日のセキュリティリリース)。	Nessus	Misc.	2022/10/3	2024/1/9	critical
162898	FreeBSD：Node.js -- 2022 年 7 月 7 日のセキュリティリリース (b9210706-feb0-11ec-81fa-1c697a616631)	Nessus	FreeBSD Local Security Checks	2022/7/8	2023/10/18	high
165634	Node.js 14.x< 14.20.0/ 16.x< 16.16.0/ 18.x< 18.5.0複数の脆弱性 (2022 年 7 月 7 日のセキュリティリリース).	Nessus	Misc.	2022/10/3	2024/1/9	high
173113	Amazon Linux 2023 : nodejs、nodejs-devel、nodejs-full-i18n (ALAS2023-2023-084)	Nessus	Amazon Linux Local Security Checks	2023/3/21	2023/4/21	critical

検出

プラグインの検索

critical

high

high

critical