このnodejs8のバージョン8.11.3への更新では、次の問題を修正します：
これらのセキュリティの問題が修正されました：

  - CVE-2018-7167：一部のパラメーターを指定したBuffer.fill()またはBuffer.alloc()を呼び出すとハングアップが発生する可能性があり、これによりDoSが引き起こされる能性がありました（bsc#1097375）。

  - CVE-2018-7161：http2サーバーとの対話処理が、オブジェクトが使用できなくなった後にネイティブコードで使用されるクリーンアップのバグを発生させるような方法で行われることで、攻撃者がhttp2サーバーを提供するノードサーバーをクラッシュさせ、サービス拒否（DoS）を引き起こすことが可能でした（bsc#1097404）。☆

  - CVE-2018-1000168：nghttp2のバンドル解除によるサービス拒否の脆弱性を修正しました（bsc#1097401）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

nodejs8バージョン8.11.3への更新プログラムでは、以下の問題が修正されています：

以下のセキュリティの問題が修正されました：

  - CVE-2018-7167：一部のパラメーターを指定したBuffer.fill()またはBuffer.alloc()を呼び出すとハングアップが発生する可能性があり、これによりDoSが引き起こされる能性がありました（bsc#1097375）。

  - CVE-2018-7161：オブジェクトが利用できなくなった後に、ネイティブコードでそれらのオブジェクトが使用されるというクリーンアップのバグを発生させる方法で、攻撃者がhttp2サーバーと対話することにより、http2サーバーを提供するノードサーバーをクラッシュさせ、サービス拒否（DoS）を引き起こすことが可能でした（bsc#1097404）。

  - CVE-2018-1000168：nghttp2のバンドル解除によるサービス拒否の脆弱性を修正しました（bsc#1097401）

この更新プログラムは、SUSE: SLE-15: Update更新プロジェクトからインポートされました。

リモートホストにインストールされている F5 Networks BIG-IP のバージョンは、テスト済みバージョンより前です。したがって、K000137093 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 一部のパラメーターで Buffer.fill() または Buffer.alloc() を呼び出すと、ハングアップが発生し、サービス拒否が発生する可能性があります。この脆弱性に対処するために、Buffer.alloc() および Buffer.fill() の実装が更新され、このような場合にもハングせずゼロフィルになるようになりました。Node.js 6.x (LTS Boron)、8.x (LTS Carbon)、9.x のすべてのバージョンが脆弱です。Node.js 10.x (最新版) のすべてのバージョンに脆弱性はありません。(CVE-2018-7167)

  - 6.14.4、8.11.4、10.9.0 より前の Node.js のすべてのバージョンでは、UCS-2 エンコーディング (Node.js により [ucs2]、[ucs-2]、[utf16le] および [utf-16le] の名前で認識されるエンコーディング) で使用されると、[Buffer#write()] が悪用され、単一 [バッファ] の境界外で書き込みが行われる可能性があります。バッファの最後から 2 番目の位置から始まる書き込みにより、書き込まれる入力バイトの最大長の計算エラーが発生します。(CVE-2018-12115)

  - Node.js: Node.js 6.15.0、8.14.0 より前の全バージョン: HTTP リクエストの [パス] オプションに対して、サニタイズされていないユーザー提供の Unicode データを使用するように Node.js を誘導できる場合、データが提供される可能性があります。このデータ提供により、同じサーバーに対して 2 番目の予期しないユーザー定義の HTTP リクエストが引き起こされます。(CVE-2018-12116)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

セキュリティ修正の更新

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストにインストールされているNode.jsのバージョンは、6.14.3より前の6.x、8.11.3より前の8.x、9.11.2より前の9.x、または10.4.1より前の10.xです。したがって、複数の脆弱性の影響を受けます。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

バージョン6.14.3へのnodejs6の更新プログラムでは、以下の問題が修正されています：

次のセキュリティ脆弱性に対処しました：

  - Buffer.fill()の呼び出し時にハングアップする可能性のあるサービス拒否（DoS）の脆弱性を修正しました（CVE-2018-7167、bsc#1097375）。

次のその他の変更が行われました：

  - 実行可能なshebang行で絶対パスを使用します

  - ICU61.1での構築を修正しました（bsc#1091764）

この更新プログラムは、SUSE: SLE-12: Update更新プロジェクトからインポートされました。

このnodejs6のバージョン6.14.3への更新では、次の問題を修正します：
次のセキュリティ脆弱性に対処しました：

  - Buffer.fill()の呼び出し時にハングアップする可能性のあるサービス拒否（DoS）の脆弱性を修正しました（CVE-2018-7167、bsc#1097375）。次のその他の変更が行われました：

  - 実行可能なshebang行で絶対パスを使用します

  - ICU61.1での構築を修正しました（bsc#1091764）

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Node.js による報告：HTTP/2でのサービス拒否の脆弱性（CVE-2018-7161）8.x以降のすべてのバージョンは脆弱であり、重要度は「高」です。攻撃者が、http2サーバーを提供するノードサーバーをクラッシュさせることで、サービス拒否（DoS）を引き起こす可能性があります。これは、オブジェクトが使用できなくなった後にネイティブコードで使用されるクリーンアップのバグを発生させる方法で、http2サーバーとやり取りすることで実現できます。これは、http2実装を更新することで対処されています。この問題を報告してくれたF5 NetworksのJordan Zebor氏に感謝の意を表します。サービス拒否、nghttp2の依存関係（CVE-2018-1000168）9.x以降のすべてのバージョンは脆弱であり、重要度は「高」です。特定の状況で、悪意のあるクライアントが、無効な形式のALTSVCフレームを送信することで、初期化されていない読み取り（およびその後のセグメンテーション違反）を引き起こす可能性があります。これは、nghttp2を更新することで対処されています。TLSのサービス拒否の脆弱性（CVE-2018-7162）9.x以降のすべてのバージョンは脆弱であり、重要度は「高」です。攻撃者が、TLSサーバーをサポートするhttpサーバーを提供するノードプロセスをクラッシュさせることで、サービス拒否（DoS）を引き起こす可能性があります。これは、ハンドシェイク中に重複/予期しないメッセージを送信することで実現できます。この脆弱性は、TLS実装を更新することで対処されています。F5 NetworksのJordan Zebor氏に感謝の意を表します。Node.jsチームとのこの問題の調査に協力してくれました。v9.x（CVE-2018-7164）バージョン9.7.0以降のメモリ枯渇DoSは脆弱であり、重要度は「中」です。9.7.0で導入されたバグにより、ネットワークからnet.Socketオブジェクトをストリームとして直接使用するJavaScriptに読み込むときに消費されるメモリが増加します。攻撃者がこれを利用して、小さなチャンクのデータを連続して送信することで、サービス拒否を引き起こす可能性があります。この脆弱性は、以前の動作に戻すことで復元されました。Buffer.fill()および/またはBuffer.alloc()の呼び出しがハングアップする可能性があります（CVE-2018-7167）一部のパラメーターでBuffer.fill()またはBuffer.alloc()を呼び出すと、ハングアップが発生し、サービス拒否を引き起こす可能性があります。この脆弱性に対処するために、Buffer.alloc()とBuffer.fill()の実装が更新され、これらの場合にハングするのではなくゼロ充填するようになりました。

このnodejs8のバージョン8.11.3への更新では、次の問題が修正されます：

これらのセキュリティの問題が修正されました：

  - CVE-2018-7167：一部のパラメーターを指定したBuffer.fill()またはBuffer.alloc()を呼び出すとハングアップが発生する可能性があり、これによりDoSが引き起こされる能性がありました（bsc#1097375）。

  - CVE-2018-7161：オブジェクトが利用できなくなった後に、ネイティブコードでそれらのオブジェクトが使用されるというクリーンアップのバグを発生させる方法で、攻撃者がhttp2サーバーと対話することにより、http2サーバーを提供するノードサーバーをクラッシュさせ、サービス拒否（DoS）を引き起こすことが可能でした（bsc#1097404）。

  - CVE-2018-1000168：nghttp2のバンドル解除によるサービス拒否の脆弱性を修正しました（bsc#1097401）

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

リモートの Ubuntu 16.04 ESM / 18.04 ESM ホストには、USN-4796-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 0.10.47 より前の Node.js 0.10.x、0.12.16 より前の 0.12.x、4.6.0 より前の 4.x、6.7.0 より前の 6.x  の tls.checkServerIdentity 関数は、X.509 証明書の名前フィールドでワイルドカードを適切に処理しないため、中間者攻撃者が細工された証明書を通じてサーバーを偽装する可能性があります。(CVE-2016-7099)

  - NAPTR応答の解析に使用されるc-ares関数ares_parse_naptr_reply()は、特別な方法で細工されたDNS応答パケットで渡される場合、指定された入力バッファの外部にあるメモリの読み取りが引き起こされる可能性があります。(CVE-2017-1000381)

  - 6.14.4、8.11.4、10.9.0 より前の Node.js のすべてのバージョンでは、UCS-2 エンコーディング (Node.js により [ucs2]、[ucs-2]、[utf16le] および [utf-16le] の名前で認識されるエンコーディング) で使用されると、[Buffer#write()] が悪用され、単一 [バッファ] の境界外で書き込みが行われる可能性があります。バッファの最後から 2 番目の位置から始まる書き込みにより、書き込まれる入力バイトの最大長の計算エラーが発生します。(CVE-2018-12115)

  - Node.js: Node.js 6.15.0、8.14.0 より前の全バージョン: HTTP リクエストの分割: HTTP リクエストの [パス] オプションに対して、サニタイズされていないユーザー提供の Unicode データを使用するように Node.js を誘導できる場合、データが提供される可能性があります。このデータ提供により、同じサーバーに対して 2 番目の予期しないユーザー定義の HTTP リクエストが引き起こされます。(CVE-2018-12116)

  - Node.js: Node.js 6.15.0、8.14.0、10.14.0、11.3.0 より前の全バージョン: Slowloris HTTP のサービス拒否: 攻撃者は、ヘッダーを非常にゆっくりと送信することで、HTTP または HTTPS の接続と関連するリソースを長期間維持することで、サービス拒否 (DoS) を引き起こす可能性があります。(CVE-2018-12122)

  - Node.js: Node.js 6.15.0、8.14.0、10.14.0、11.3.0 より前の全バージョン: javascript プロトコルの URL パーサーにおけるホスト名のなりすまし: Node.js アプリケーションが URL ホスト名を判断するために url.parse() を使用している場合、そのホスト名は大文字と小文字が混在する javascript: (例: javAscript: ) プロトコル (他のプロトコルは影響を受けない) を使用して、なりすましが行なわれる可能性があります。ホスト名に基づいて URL に関するセキュリティの決定が行われた場合、その決定は正しくない可能性があります。(CVE-2018-12123)

  - 6.x 以降のNode.js インスペクターは、リモートコードの実行を実行するために悪用される可能性があるDNS再バインド攻撃に脆弱です。同じコンピューター上のWebブラウザ、またはNode.jsプロセスを実行しているコンピューターへのネットワークアクセスがある別のコンピューターで開いている悪意のあるWebサイトから、攻撃が可能です。悪意のあるWebサイトがDNS再バインド攻撃を利用して、Webブラウザを騙して同一生成元ポリシーチェックをバイパスし、ローカルホストまたはローカルネットワーク上のホストへのHTTP接続を許可する可能性があります。デバッグポートがアクティブなNode.jsプロセスがローカルホストまたはローカルネットワーク上のホストで実行されている場合、悪意のあるWebサイトがデバッガとして接続し、完全なコード実行アクセス権を取得する可能性があります。(CVE-2018-7160)

  - 一部のパラメーターで Buffer.fill() または Buffer.alloc() を呼び出すと、ハングアップが発生し、サービス拒否が発生する可能性があります。この脆弱性に対処するために、Buffer.alloc() および Buffer.fill() の実装が更新され、このような場合にもハングせずゼロフィルになるようになりました。Node.js 6.x (LTS Boron)、8.x (LTS Carbon)、9.x のすべてのバージョンが脆弱です。Node.js 10.x (最新版) のすべてのバージョンに脆弱性はありません。(CVE-2018-7167)

  - 6.17.0より前の 6.x、8.15.1 より前の 8.x、10.15.2 より前の 10.x、11.10.1 より前の 11.x を含む Node.js では、攻撃者が HTTP または HTTPS 接続をキープアライブモードで確立し、ヘッダーの送信を大幅に遅らせることによって、サービス拒否 (DoS) を引き起こす可能性があります。これにより、接続と関連するリソースが長期間有効のままにされます。ロードバランサーまたは他のプロキシレイヤーを使用することで、攻撃の可能性が緩和されます。
    この脆弱性は、CVE-2018-12121 の拡張であり、11 月に対処され、6.x より前の 6.17.0、8.x より前の  8.15.1、10.x より前の 10.15.2、11.x より前の 11.10.1 を含むすべてのすべてのアクティブな Node.js リリースラインに影響を与えます。 (CVE-2019-5737)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2018:2949 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - nodejs: HTTP パーサーが Content-Length ヘッダー値内のスペースを許可 (CVE-2018-7159)

  - nodejs: インスペクター DNS リバインドの脆弱性 (CVE-2018-7160)

  - nodejs: http2 サーバーを提供するノードサーバーをクラッシュさせることで発生するサービス拒否 (DoS) (CVE-2018-7161)

  - nodejs: 特別に細工されたパラメーターで Buffer.fill() または Buffer.alloc() を呼び出すことによるサービス拒否 (CVE-2018-7167)

  - nodejs: UCS-2 エンコーディングによる領域外 (OOB) 書き込み (CVE-2018-12115)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
120038	SUSE SLES15セキュリティ更新プログラム：nodejs8 (SUSE-SU-2018:1918-1)	Nessus	SuSE Local Security Checks	2019/1/2	2020/3/20	high
111095	openSUSEセキュリティ更新プログラム：nodejs8（openSUSE-2018-724）	Nessus	SuSE Local Security Checks	2018/7/16	2021/1/19	high
182423	F5 Networks BIG-IP : Node.js の脆弱性 (K000137093)	Nessus	F5 Networks Local Security Checks	2023/10/2	2024/3/20	high
120914	Fedora 28：1: nodejs（2018-f59d961d7b）	Nessus	Fedora Local Security Checks	2019/1/3	2021/1/6	high
118957	Node.jsの複数の脆弱性（2018年7月のセキュリティリリース）	Nessus	Misc.	2018/11/14	2024/1/9	high
110822	Fedora 27：1：nodejs（2018-79841c871e）	Nessus	Fedora Local Security Checks	2018/7/2	2021/1/6	high
111094	openSUSEセキュリティ更新プログラム：nodejs6（openSUSE-2018-723）	Nessus	SuSE Local Security Checks	2018/7/16	2021/1/19	high
120036	SUSE SLES12セキュリティ更新プログラム：nodejs6 (SUSE-SU-2018:1892-1)	Nessus	SuSE Local Security Checks	2019/1/2	2020/3/20	high
110539	FreeBSD: node.js -- 複数の脆弱性（45b8e2eb-7056-11e8-8fab-63ca6e0e13a2）	Nessus	FreeBSD Local Security Checks	2018/6/15	2018/11/10	high
123217	openSUSEセキュリティ更新プログラム：nodejs8 (openSUSE-2019-513)	Nessus	SuSE Local Security Checks	2019/3/27	2021/1/19	high
183156	Ubuntu 16.04 ESM / 18.04 ESM : Node.js 脆弱性 (USN-4796-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2023/10/16	high
194056	RHEL 7 : rh-nodejs8-nodejs (RHSA-2018:2949)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/4/27	high

検出

プラグインの検索

high

high

high

high

high

high

high

high

high

high

high

high