This update for nodejs4 and nodejs6 fixes the following issues :

Security issues fixed :

  - CVE-2017-1000381: The c-ares function     ares_parse_naptr_reply() could be triggered to read     memory outside of the given input buffer if the passed     in DNS response packet was crafted in a particular way.
    (bsc#1044946)

  - CVE-2017-11499: Disable V8 snapshots. The hashseed     embedded in the snapshot is currently the same for all     runs of the binary. This opens node up to collision     attacks which could result in a Denial of Service. We     have temporarily disabled snapshots until a more robust     solution is found. (bsc#1048299)

Non-security fixes :

  - GCC 7 compilation fixes for v8 backported and add     missing ICU59 headers (bsc#1041282)

  - New upstream LTS release 6.11.1

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.11.1

  - New upstream LTS release 6.11.0

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.11.0

  - New upstream LTS release 6.10.3

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.3

  - New upstream LTS release 6.10.2

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.2

  - New upstream LTS release 6.10.1

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.1

  - New upstream LTS release 6.10.0

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.0

  - New upstream LTS release 4.8.4

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.4

  - New upstream LTS release 4.8.3

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.3

  - New upstream LTS release 4.8.2

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.2

  - New upstream LTS release 4.8.1

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.1

  - New upstream LTS release 4.8.0

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.0

This update was imported from the SUSE:SLE-12:Update update project.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Node.js v4.0 至 v4.8.3、v5.x、v6.0 至 v6.11.0、v7.0 至 v7.10.0 和 v8.0 至 v8.1.3 的所有版本都容易受到雜湊溢流遠端 DoS 影響因為 HashTable 種子在 Node.js 的指定發行版本中是常數所導致的攻擊。這是因為構建時預設啟用了 V8 快照造成最初隨機化的種子在啟動時遭到覆寫。 (CVE-2017-11499)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Node.js v4.0 至 v4.8.3、v5.x 的所有版本、v6.0 至 v6.11.0、v7.0 至 v7.10.0 以及 v8.0 至 v8.1.3 容易受到哈希洪流远程 DoS 影响攻击的原因是哈希表种子在整个给定已发布的 Node.js 版本中保持不变。这是在默认启用 V8 快照的情况下构建的结果导致初始随机化的种子在启动时被覆盖。 (CVE-2017-11499)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

このnodejs4とnodejs6の更新プログラムでは、次の問題が修正されます：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2017-1000381: c-ares関数ares_parse_naptr_reply()は、特別な方法で細工されたDNS応答パケットで渡される場合、指定された入力バッファの外部にあるメモリの読み取りが引き起こされる可能性があります。
    （bsc#1044946）

  - CVE-2017-11499: V8スナップショットを無効にします。スナップショットに埋め込まれたハッシュシードは、現在バイナリのすべての実行で同一です。これによりノードが衝突攻撃にさらされ、サービス拒否が引き起こされる可能性があります。より堅牢な解決策が見つかるまで、スナップショットを一時的に無効にしています。（bsc#1048299）

非セキュリティ修正：

  -v8に対するGCC 7コンパイルの修正がバックポートされ、欠落しているICU59ヘッダーが追加されました（ bsc#1041282）

  - 新しいUpstream LTSリリース6.11.1

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.11.1

  - 新しいUpstream LTSリリース6.11.0

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.11.0

  - 新しいUpstream LTSリリース6.10.3

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.3

  - 新しいUpstream LTSリリース6.10.2

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.2

  - 新しいUpstream LTSリリース6.10.1

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.1

  - 新しいUpstream LTSリリース6.10.0

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.0

  - 新しいUpstream LTSリリース4.8.4

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.4

  - 新しいUpstream LTSリリース4.8.3

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.3

  - 新しいUpstream LTSリリース4.8.2

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.2

  - 新しいUpstream LTSリリース4.8.1

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.1

  - 新しいUpstream LTSリリース4.8.0

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.0

この更新はSUSEからインポートされました：SLE-12: 更新プロジェクトを更新します。

This update for nodejs4 and nodejs6 fixes the following issues:
Security issues fixed :

  - CVE-2017-1000381: The c-ares function     ares_parse_naptr_reply() could be triggered to read     memory outside of the given input buffer if the passed     in DNS response packet was crafted in a particular way.
    (bsc#1044946)

  - CVE-2017-11499: Disable V8 snapshots. The hashseed     embedded in the snapshot is currently the same for all     runs of the binary. This opens node up to collision     attacks which could result in a Denial of Service. We     have temporarily disabled snapshots until a more robust     solution is found. (bsc#1048299) Non-security fixes :

  - GCC 7 compilation fixes for v8 backported and add     missing ICU59 headers (bsc#1041282)

  - New upstream LTS release 6.11.1     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V6.md#6 .11.1

  - New upstream LTS release 6.11.0     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V6.md#6 .11.0

  - New upstream LTS release 6.10.3     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V6.md#6 .10.3

  - New upstream LTS release 6.10.2     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V6.md#6 .10.2

  - New upstream LTS release 6.10.1     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V6.md#6 .10.1

  - New upstream LTS release 6.10.0     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V6.md#6 .10.0

  - New upstream LTS release 4.8.4     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V4.md#4 .8.4

  - New upstream LTS release 4.8.3     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V4.md#4 .8.3

  - New upstream LTS release 4.8.2     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V4.md#4 .8.2

  - New upstream LTS release 4.8.1     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V4.md#4 .8.1

  - New upstream LTS release 4.8.0     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V4.md#4 .8.0

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Node.js v4.0 through v4.8.3, all versions of v5.x, v6.0 through v6.11.0, v7.0 through v7.10.0, and v8.0     through v8.1.3 was susceptible to hash flooding remote DoS attacks as the HashTable seed was constant     across a given released version of Node.js. This was a result of building with V8 snapshots enabled by     default which caused the initially randomized seed to be overwritten on startup. (CVE-2017-11499)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote Redhat Enterprise Linux 6 / 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2017:2908 advisory.

    Node.js is a software development platform for building fast and scalable network applications in the     JavaScript programming language.

    The following packages have been upgraded to a later upstream version: rh-nodejs6-nodejs (6.11.3).
    (BZ#1476317)

    Security Fix(es):

    * It was found that Node.js was using a non-randomized seed when populating hash tables. An attacker, able     to supply a large number of inputs, could send specially crafted entries to the Node.js application,     maximizing hash collisions to trigger an excessive amount of CPU usage, resulting in a denial of service.
    (CVE-2017-11499)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 6 / 7 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2017:3002 advisory.

    Node.js is a platform built on Chrome's JavaScript runtime for easily building fast, scalable network     applications. Node.js uses an event-driven, non-blocking I/O model that makes it lightweight and     efficient, perfect for data-intensive real-time applications that run across distributed devices.

    The following packages have been upgraded to a later upstream version: rh-nodejs4-nodejs (4.8.4).
    (BZ#1476314)

    Security Fix(es):

    * It was found that Node.js was using a non-randomized seed when populating hash tables. An attacker, able     to supply a large number of inputs, could send specially crafted entries to the Node.js application,     maximizing hash collisions to trigger an excessive amount of CPU usage, resulting in a denial of service.
    (CVE-2017-11499)

    Bug Fix(es):

    * The /opt/rh/rh-nodejs4/root/usr/share/licenses/ directory was not owned by any package. Consequently,     when the rh-nodejs4 collection was uninstalled, the directory was not removed. This bug has been fixed,     and the aforementioned directory is correctly removed after uninstalling rh-nodejs4. (BZ#1316626)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2017:3002 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - nodejs: Constant Hashtable Seeds の脆弱性 (CVE-2017-11499)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2017:2908 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Node.js は、高速でスケーラブルなネットワークアプリケーションを JavaScript プログラミング言語でビルドするためのソフトウェア開発プラットフォームです。

    rh-nodejs6-nodejsのパッケージが新しいアップストリームバージョンにアップグレードされました（6.11.3）。
    (BZ#1476317)

    セキュリティ修正プログラム:

    * ハッシュテーブルにデータを入力するとき、Node.jsがランダム化されていないシードを使用していることがわかりました。多数の入力を提供できる攻撃者が、特別に細工されたエントリを Node.js アプリケーションに送信し、ハッシュ衝突を最大化して過剰な CPU 使用率をトリガーし、サービス拒否を引き起こす可能性があります。
    (CVE-2017-11499)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

このnodejs4用およびnodejs6用の更新プログラムでは、次の問題が修正されています：
修正されたセキュリティ問題：

  - CVE-2017-1000381：c-ares関数ares_parse_naptr_reply()は、特別な方法で細工されたDNS応答パケットで渡される場合、指定された入力バッファの外部にあるメモリの読み取りが引き起こされる可能性があります。
    （bsc#1044946）

  - CVE-2017-11499：V8スナップショットを無効にします。スナップショットに埋め込まれたハッシュシードは、現在バイナリのすべての実行で同一です。これによりノードが衝突攻撃にさらされ、サービス拒否が引き起こされる可能性があります。より堅牢なソリューションが見つかるまで、スナップショットを一時的に無効にしています。（bsc#1048299）非セキュリティ修正：

  - v8に対するGCC 7コンパイルの修正がバックポートされ、欠落しているICU59ヘッダーが追加されました（ bsc#1041282）

  - 新しいUpstream LTSリリース6.11.1 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6 .11.1

  - 新しいUpstream LTSリリース6.11.0 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6 .11.0

  - 新しいUpstream LTSリリース6.10.3 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6 .10.3

  - 新しいUpstream LTSリリース6.10.2 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6 .10.2

  - 新しいUpstream LTSリリース6.10.1 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6 .10.1

  - 新しいUpstream LTSリリース6.10.0 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6 .10.0

  - 新しいUpstream LTSリリース4.8.4 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4 .8.4

  - 新しいUpstream LTSリリース4.8.3 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4 .8.3

  - 新しいUpstream LTSリリース4.8.2 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4 .8.2

  - 新しいUpstream LTSリリース4.8.1 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4 .8.1

  - 新しいUpstream LTSリリース4.8.0 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4 .8.0

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Node.js v4.0 から v4.8.3、v5.x、v6.0 から v6.11.0、v7.0 から v7.10.0、v8.0 から v8.1.3 のすべてのバージョンは、ハッシュフラッドによるリモート DoS の影響を受けました。 HashTable シードとしての攻撃が、Node.js の特定のリリースバージョン全体で一定でした。これは、V8 スナップショットをデフォルトで有効にして構築された結果でした。これにより、最初のランダム化シードが起動時に上書きされます。CVE-2017-11499

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

遠端 Redhat Enterprise Linux 6 / 7 主機上安裝的套件受到 RHSA-2017:3002 公告中提及的弱點影響。

  - nodejs：固定雜湊表種子值弱點 (CVE-2017-11499)

請注意，Nessus 並未測試此問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 6/7 主機上安裝的套件受到 RHSA-2017:2908 公告中提及的多個弱點影響。

    Node.js 是一個軟體開發平台，可使用 JavaScript 程式設計語言建置快速且可擴充的網路應用程式。

    下列套件已升級至更新的上游版本：rh-nodejs6-nodejs (6.11.3)。
    (BZ#1476317)

    安全性修正：

    * 據發現，Node.js 在填入雜湊表時會使用非隨機化種子。能夠提供大量輸入的攻擊者可傳送特製項目至 Node.js 應用程式，最大化雜湊衝突以觸發過量 CPU 使用，進而導致拒絕服務。
    (CVE-2017-11499)

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 6/7 主机上安装的多个程序包受到 RHSA-2017:3002 公告中提及的一个漏洞影响。

  - nodejs：常量哈希表种子漏洞 (CVE-2017-11499)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2017:2908 公告中提及的多个漏洞影响。

    Node.js 是个软件开发平台，可使用 JavaScript 编程语言构建快速且可扩展的网络应用程序。

    下列程序包已升级到更高的上游版本：rh-nodejs6-nodejs（6.11.3）。
    (BZ#1476317)

    安全修复：

    * 已发现 Node.js 在填充哈希表时使用非随机种子。能够提供大量输入的攻击者可向 Node.js 应用程序发送特别构建的条目，从而充分利用哈希冲突触发过量 CPU 使用，从而导致拒绝服务。
    (CVE-2017-11499)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
102564	openSUSE Security Update : nodejs4 / nodejs6 (openSUSE-2017-948)	Nessus	SuSE Local Security Checks	2017/8/18	2021/1/19	high
252834	Linux Distros 未修補的弱點：CVE-2017-11499	Nessus	Misc.	2025/8/20	2025/8/20	high
252834	Linux Distros 未修补的漏洞：CVE-2017-11499	Nessus	Misc.	2025/8/20	2025/8/20	high
102564	openSUSEセキュリティ更新プログラム：nodejs4 / nodejs6 (openSUSE-2017-948)	Nessus	SuSE Local Security Checks	2017/8/18	2021/1/19	high
120002	SUSE SLES12 Security Update : nodejs4, nodejs6 (SUSE-SU-2017:2168-1)	Nessus	SuSE Local Security Checks	2019/1/2	2024/7/11	high
252834	Linux Distros Unpatched Vulnerability : CVE-2017-11499	Nessus	Misc.	2025/8/20	2025/8/20	high
234432	RHEL 6 / 7 : rh-nodejs6-nodejs (RHSA-2017:2908)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high
194073	RHEL 6 / 7 : rh-nodejs4-nodejs (RHSA-2017:3002)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	high
194073	RHEL 6 / 7 : rh-nodejs4-nodejs (RHSA-2017:3002)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	high
234432	RHEL 6 / 7 : rh-nodejs6-nodejs (RHSA-2017:2908)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high
120002	SUSE SLES12セキュリティ更新プログラム：nodejs4, nodejs6 (SUSE-SU-2017:2168-1)	Nessus	SuSE Local Security Checks	2019/1/2	2024/7/11	high
252834	Linux Distros のパッチ未適用の脆弱性: CVE-2017-11499	Nessus	Misc.	2025/8/20	2025/8/20	high
194073	RHEL 6 / 7：rh-nodejs4-nodejs (RHSA-2017:3002)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	high
234432	RHEL 6 / 7：rh-nodejs6-nodejs (RHSA-2017:2908)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high
194073	RHEL 6 / 7 : rh-nodejs4-nodejs (RHSA-2017:3002)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	high
234432	RHEL 6 / 7：rh-nodejs6-nodejs (RHSA-2017:2908)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high