リモートホストにインストールされている F5 Networks BIG-IP のバージョンは、テスト済みバージョンより前です。したがって、K000137093 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 一部のパラメーターで Buffer.fill() または Buffer.alloc() を呼び出すと、ハングアップが発生し、サービス拒否が発生する可能性があります。この脆弱性に対処するために、Buffer.alloc() および Buffer.fill() の実装が更新され、このような場合にもハングせずゼロフィルになるようになりました。Node.js 6.x (LTS Boron)、8.x (LTS Carbon)、9.x のすべてのバージョンが脆弱です。Node.js 10.x (最新版) のすべてのバージョンに脆弱性はありません。(CVE-2018-7167)

  - 6.14.4、8.11.4、10.9.0 より前の Node.js のすべてのバージョンでは、UCS-2 エンコーディング (Node.js により [ucs2]、[ucs-2]、[utf16le] および [utf-16le] の名前で認識されるエンコーディング) で使用されると、[Buffer#write()] が悪用され、単一 [バッファ] の境界外で書き込みが行われる可能性があります。バッファの最後から 2 番目の位置から始まる書き込みにより、書き込まれる入力バイトの最大長の計算エラーが発生します。(CVE-2018-12115)

  - Node.js: Node.js 6.15.0、8.14.0 より前の全バージョン: HTTP リクエストの [パス] オプションに対して、サニタイズされていないユーザー提供の Unicode データを使用するように Node.js を誘導できる場合、データが提供される可能性があります。このデータ提供により、同じサーバーに対して 2 番目の予期しないユーザー定義の HTTP リクエストが引き起こされます。(CVE-2018-12116)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

このnodejs4の更新では、以下の問題を修正します：

修正されたセキュリティ問題：

CVE-2018-0734：DSA署名生成におけるタイミングの脆弱性が修正されました（bsc#1113652）。

CVE-2018-5407：ハイパースレッドポートコンテンツサイドチャネル攻撃（別名「PortSmash」）を修正しました（bsc#1113534）

CVE-2018-12120：デフォルトでデバッガーがどのインターフェイスでもリッスンするよう修正しました（bsc#1117625）

CVE-2018-12121：大きなHTTPヘッダーによるサービス拒否を修正しました（bsc#1117626）

CVE-2018-12122： Slowloris HTTPのサービス拒否を修正しました（bsc#1117627）

CVE-2018-12116：HTTPリクエストの分割を修正しました（bsc#1117630）

CVE-2018-12123：JavaScriptプロトコルのURLパーサーにおけるホスト名のなりすましを修正しました（bsc#1117629）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Node.js による報告：

更新は、すべてのアクティブなNode.jsリリースラインで利用可能になりました。これらには、最初の発表で特定された脆弱性の修正が含まれています。また、Node.js 6および8のOpenSSL 1.0.2qへのアップグレード、Node.js 10および11のOpenSSL 1.1.0jへのアップグレードも含まれています。

Node.jsの全ユーザーは、早急に以下のバージョンにアップグレードすることを推奨します。デバッガーポート5858は、デフォルトで任意のインターフェイスをリッスンします（CVE-2018-12120）。すべてのバージョンのNode.js 6は脆弱であり、重要度は「高」です。デバッガーがノード--debugまたはノードデバッグで有効な場合、デフォルトですべてのインターフェイスでポート5858をリッスンします。
このため、リモートコンピューターがデバッグポートに接続して任意のJavaScriptを評価する可能性があります。デフォルトのインターフェイスはlocalhostになりました。
node --debug=localhostのように特定のインターフェイスでデバッガを起動することは常に可能でした。デバッガーがNode.js 8で削除され、インスペクターに置き換えられたため、8以降のバージョンは脆弱ではありません。大きなHTTPヘッダーによるサービス拒否（CVE-2018-12121）6以降のすべてのバージョンは脆弱であり、 重要度は「高」です。最大サイズのヘッダー（1接続につきほぼ80KB）の大量のリクエストの組み合わせと注意深くタイミング設定されたヘッダーの完了を使用して、HTTPサーバーをヒープアロケーションの失敗によって停止させる可能性があります。攻撃の可能性は、ロードバランサーまたはその他のプロキシレイヤーを使用することで緩和されます。

Node.jsが受信するHTTPヘッダーの合計サイズは、8192バイトを超えてはなりません。「Slowloris」HTTPサービス拒否（CVE-2018-12122）Node.js 6以降のすべてのバージョンは脆弱であり、 重要度は「低」です。攻撃者が、ヘッダーを非常にゆっくりと送信し、HTTPまたはHTTPS接続および関連するリソースを長時間にわたって稼働させ続けることで、サービス拒否（DoS）を引き起こす可能性があります。攻撃の可能性は、ロードバランサーまたはその他のプロキシレイヤーを使用することで緩和されます。

HTTPヘッダーを受信するサーバーに、40秒のタイムアウトが適用されるようになりました。
この値は、server.headersTimeoutで調整できます。この期間内にヘッダーが完全に受信されない場合、ソケットは次の受信チャンクで破壊されます。これは、server.setTimeout()と組み合わせて、過剰なリソースの保持および潜在的なサービス拒否から保護するのに役立ちます。JavaScriptプロトコルのURLパーサーにおけるホスト名スプーフィング（CVE-2018-12123）Node.js 6以降のすべてのバージョンは脆弱であり、 重要度は「低」です。Node.jsアプリケーションがURLホスト名を判断するためにurl.parse()を使用している場合、そのホスト名は大文字と小文字が混在する「javascript:」（例: 「javAscript:」）プロトコルを使用して偽装している可能性があります（他のプロトコルは影響を受けません）。ホスト名に基づいてURLに関するセキュリティの決定が行われた場合、それらは正しくない可能性があります。HTTPリクエスト分割（CVE-2018-12116）Node.js 6および8は脆弱であり、 重要度は「中」です。Node.jsが、HTTPリクエストのパスオプションに対して、サニタイズされていないユーザー提供のUnicodeデータを使用するように説得できる場合、データが提供される可能性があります。このデータ提供により、同じサーバーに対して2番目の予期しないユーザー定義のHTTPリクエストが引き起こされます。ECDSA署名生成におけるOpenSSLタイミングの脆弱性（CVE-2018-0735）OpenSSL ECDSA署名アルゴリズムは、タイミングサイドチャネル攻撃に対して脆弱であることが示されています。攻撃者が署名アルゴリズムの変動を悪用し、秘密鍵を復元する可能性があります。DSA署名生成におけるOpenSSLタイミングの脆弱性（CVE-2018-0734）OpenSSL DSA署名アルゴリズムは、タイミングサイドチャネル攻撃に対して脆弱であることが示されています。攻撃者が署名アルゴリズムの変動を悪用し、秘密鍵を復元する可能性があります。ECCスカラー乗算におけるOpenSSLマイクロアーキテクチャのタイミングの脆弱性（CVE-2018-5407）ECDSAおよびECDHなどで使用されるOpenSSL ECCスカラー乗算は、マイクロアーキテクチャのタイミングサイドチャネル攻撃に対して脆弱であることが示されています。ECDSA署名生成中にローカルタイミング攻撃を仕掛けるのに十分なアクセス権を持つ攻撃者が、秘密鍵を復元する可能性があります。

このnodejs8のバージョン8.15.0への更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2018-12121：大きなHTTPヘッダーによるサービス拒否を修正しました（bsc#1117626）

CVE-2018-12122：Slowloris HTTPのサービス拒否を修正しました（bsc#1117627）

CVE-2018-12116：HTTPリクエストの分割を修正しました（bsc#1117630）

CVE-2018-12123：JavaScriptプロトコルのURLパーサーにおけるホスト名のなりすましを修正しました（bsc#1117629）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

このnodejs4の更新では、以下の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2018-0734：DSA署名生成におけるタイミングの脆弱性が修正されました（bsc#1113652）。

  - CVE-2018-5407：ハイパースレッドポートコンテンツサイドチャネル攻撃（別名「PortSmash」）を修正しました（bsc#1113534）

  - CVE-2018-12120：デフォルトでデバッガーがどのインターフェイスでもリッスンするよう修正しました（bsc#1117625）

  - CVE-2018-12121：大きなHTTPヘッダーによるサービス拒否を修正しました（bsc#1117626）

  - CVE-2018-12122：Slowloris HTTPのサービス拒否を修正しました（bsc#1117627）

  - CVE-2018-12116：HTTPリクエストの分割を修正しました（bsc#1117630）

  - CVE-2018-12123：JavaScriptプロトコルのURLパーサーにおけるホスト名のなりすましを修正しました（bsc#1117629）

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

nodejs6用のこの更新プログラムは、バージョン6.16.0に更新し、以下の問題が修正されています：

修正されたセキュリティ問題：

  - CVE-2018-0734：DSA署名生成におけるタイミングの脆弱性が修正されました（bsc#1113652）。

  - CVE-2018-5407：ハイパースレッドポートコンテンツサイドチャネル攻撃（別名「PortSmash」）を修正しました（bsc#1113534）

  - CVE-2018-12120：デフォルトでデバッガーがどのインターフェイスでもリッスンするよう修正しました（bsc#1117625）

  - CVE-2018-12121：大きなHTTPヘッダーによるサービス拒否を修正しました（bsc#1117626）

  - CVE-2018-12122：Slowloris HTTPのサービス拒否を修正しました（bsc#1117627）

  - CVE-2018-12116：HTTPリクエストの分割を修正しました（bsc#1117630）

  - CVE-2018-12123：JavaScriptプロトコルのURLパーサーにおけるホスト名のなりすましを修正しました（bsc#1117629）

この更新はSUSEからインポートされました：SLE-12：更新プロジェクトを更新します。

リモートホストにインストールされているNode.jsのバージョンは、6.15.0より前の6.x、8.14.0より前の8.x、10.14.0より前の10.x、または11.3.0より前の11.xです。したがって、複数の脆弱性の影響を受けます。

  - DSA署名生成におけるOpenSSLタイミングの脆弱性（CVE-2018-0734）。

  - ECDSA署名生成におけるOpenSSLタイミングの脆弱性（CVE-2018-0735）。

  - ECCのスカラー倍の処理におけるOpenSSLマイクロアーキテクチャタイミングの脆弱性（CVE-2018-5407）。

  - デフォルトでの、デバッガーポート5858による任意のインターフェイスのリッスン（CVE-2018-12120）。

  - 大きなHTTPヘッダーによるサービス拒否（CVE-2018-12121）。

  - Slowloris HTTPのサービス拒否（CVE-2018-12122）。

  - javascriptプロトコルのURLパーサーにおけるホスト名のなりすまし（CVE-2018-12123）。

  - HTTPリクエストの分割（CVE-2018-12116）。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このnodejs8のバージョン8.15.0への更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2018-12121：大きなHTTPヘッダーによるサービス拒否を修正しました（bsc#1117626）

  - CVE-2018-12122：Slowloris HTTPのサービス拒否を修正しました（bsc#1117627）

  - CVE-2018-12116：HTTPリクエストの分割を修正しました（bsc#1117630）

  - CVE-2018-12123：JavaScriptプロトコルのURLパーサーにおけるホスト名のなりすましを修正しました（bsc#1117629）

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

nodejs6用のこの更新プログラムは、バージョン6.16.0に更新し、以下の問題が修正されています：

修正されたセキュリティ問題：

CVE-2018-0734：DSA署名生成におけるタイミングの脆弱性が修正されました（bsc#1113652）。

CVE-2018-5407：ハイパースレッドポートコンテンツサイドチャネル攻撃（別名「PortSmash」）を修正しました（bsc#1113534）

CVE-2018-12120：デフォルトでデバッガーがどのインターフェイスでもリッスンするよう修正しました（bsc#1117625）

CVE-2018-12121：大きなHTTPヘッダーによるサービス拒否を修正しました（bsc#1117626）

CVE-2018-12122：Slowloris HTTPのサービス拒否を修正しました（bsc#1117627）

CVE-2018-12116：HTTPリクエストの分割を修正しました（bsc#1117630）

CVE-2018-12123：JavaScriptプロトコルのURLパーサーにおけるホスト名のなりすましを修正しました（bsc#1117629）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

リモートの Ubuntu 16.04 ESM / 18.04 ESM ホストには、USN-4796-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 0.10.47 より前の Node.js 0.10.x、0.12.16 より前の 0.12.x、4.6.0 より前の 4.x、6.7.0 より前の 6.x  の tls.checkServerIdentity 関数は、X.509 証明書の名前フィールドでワイルドカードを適切に処理しないため、中間者攻撃者が細工された証明書を通じてサーバーを偽装する可能性があります。(CVE-2016-7099)

  - NAPTR応答の解析に使用されるc-ares関数ares_parse_naptr_reply()は、特別な方法で細工されたDNS応答パケットで渡される場合、指定された入力バッファの外部にあるメモリの読み取りが引き起こされる可能性があります。(CVE-2017-1000381)

  - 6.14.4、8.11.4、10.9.0 より前の Node.js のすべてのバージョンでは、UCS-2 エンコーディング (Node.js により [ucs2]、[ucs-2]、[utf16le] および [utf-16le] の名前で認識されるエンコーディング) で使用されると、[Buffer#write()] が悪用され、単一 [バッファ] の境界外で書き込みが行われる可能性があります。バッファの最後から 2 番目の位置から始まる書き込みにより、書き込まれる入力バイトの最大長の計算エラーが発生します。(CVE-2018-12115)

  - Node.js: Node.js 6.15.0、8.14.0 より前の全バージョン: HTTP リクエストの分割: HTTP リクエストの [パス] オプションに対して、サニタイズされていないユーザー提供の Unicode データを使用するように Node.js を誘導できる場合、データが提供される可能性があります。このデータ提供により、同じサーバーに対して 2 番目の予期しないユーザー定義の HTTP リクエストが引き起こされます。(CVE-2018-12116)

  - Node.js: Node.js 6.15.0、8.14.0、10.14.0、11.3.0 より前の全バージョン: Slowloris HTTP のサービス拒否: 攻撃者は、ヘッダーを非常にゆっくりと送信することで、HTTP または HTTPS の接続と関連するリソースを長期間維持することで、サービス拒否 (DoS) を引き起こす可能性があります。(CVE-2018-12122)

  - Node.js: Node.js 6.15.0、8.14.0、10.14.0、11.3.0 より前の全バージョン: javascript プロトコルの URL パーサーにおけるホスト名のなりすまし: Node.js アプリケーションが URL ホスト名を判断するために url.parse() を使用している場合、そのホスト名は大文字と小文字が混在する javascript: (例: javAscript: ) プロトコル (他のプロトコルは影響を受けない) を使用して、なりすましが行なわれる可能性があります。ホスト名に基づいて URL に関するセキュリティの決定が行われた場合、その決定は正しくない可能性があります。(CVE-2018-12123)

  - 6.x 以降のNode.js インスペクターは、リモートコードの実行を実行するために悪用される可能性があるDNS再バインド攻撃に脆弱です。同じコンピューター上のWebブラウザ、またはNode.jsプロセスを実行しているコンピューターへのネットワークアクセスがある別のコンピューターで開いている悪意のあるWebサイトから、攻撃が可能です。悪意のあるWebサイトがDNS再バインド攻撃を利用して、Webブラウザを騙して同一生成元ポリシーチェックをバイパスし、ローカルホストまたはローカルネットワーク上のホストへのHTTP接続を許可する可能性があります。デバッグポートがアクティブなNode.jsプロセスがローカルホストまたはローカルネットワーク上のホストで実行されている場合、悪意のあるWebサイトがデバッガとして接続し、完全なコード実行アクセス権を取得する可能性があります。(CVE-2018-7160)

  - 一部のパラメーターで Buffer.fill() または Buffer.alloc() を呼び出すと、ハングアップが発生し、サービス拒否が発生する可能性があります。この脆弱性に対処するために、Buffer.alloc() および Buffer.fill() の実装が更新され、このような場合にもハングせずゼロフィルになるようになりました。Node.js 6.x (LTS Boron)、8.x (LTS Carbon)、9.x のすべてのバージョンが脆弱です。Node.js 10.x (最新版) のすべてのバージョンに脆弱性はありません。(CVE-2018-7167)

  - 6.17.0より前の 6.x、8.15.1 より前の 8.x、10.15.2 より前の 10.x、11.10.1 より前の 11.x を含む Node.js では、攻撃者が HTTP または HTTPS 接続をキープアライブモードで確立し、ヘッダーの送信を大幅に遅らせることによって、サービス拒否 (DoS) を引き起こす可能性があります。これにより、接続と関連するリソースが長期間有効のままにされます。ロードバランサーまたは他のプロキシレイヤーを使用することで、攻撃の可能性が緩和されます。
    この脆弱性は、CVE-2018-12121 の拡張であり、11 月に対処され、6.x より前の 6.17.0、8.x より前の  8.15.1、10.x より前の 10.15.2、11.x より前の 11.10.1 を含むすべてのすべてのアクティブな Node.js リリースラインに影響を与えます。 (CVE-2019-5737)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存しています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
182423	F5 Networks BIG-IP : Node.js の脆弱性 (K000137093)	Nessus	F5 Networks Local Security Checks	2023/10/2	2024/3/20	high
121292	SUSE SLES12セキュリティ更新プログラム：nodejs4 (SUSE-SU-2019:0117-1)	Nessus	SuSE Local Security Checks	2019/1/22	2019/9/10	high
119511	FreeBSD: node.js -- 複数の脆弱性（2a86f45a-fc3c-11e8-a414-00155d006b02）	Nessus	FreeBSD Local Security Checks	2018/12/10	2019/7/10	high
121293	SUSE SLES15セキュリティ更新プログラム：nodejs8 (SUSE-SU-2019:0118-1)	Nessus	SuSE Local Security Checks	2019/1/22	2020/2/24	high
121415	openSUSEセキュリティ更新プログラム：nodejs4（openSUSE-2019-88）	Nessus	SuSE Local Security Checks	2019/1/28	2021/1/19	high
122418	openSUSEセキュリティ更新プログラム：nodejs6（openSUSE-2019-234）	Nessus	SuSE Local Security Checks	2019/2/25	2021/1/19	high
119938	Node.jsの複数の脆弱性（2018年11月のセキュリティリリース）	Nessus	Misc.	2018/12/28	2024/1/9	high
121428	openSUSEセキュリティ更新プログラム：nodejs8（openSUSE-2019-89）	Nessus	SuSE Local Security Checks	2019/1/29	2021/1/19	high
122230	SUSE SLES12セキュリティ更新プログラム：nodejs6 (SUSE-SU-2019:0395-1)	Nessus	SuSE Local Security Checks	2019/2/15	2019/9/10	high
183156	Ubuntu 16.04 ESM / 18.04 ESM : Node.js 脆弱性 (USN-4796-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2023/10/16	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high