The remote AlmaLinux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the ALSA-2023:5362 advisory.

    * nodejs: Permissions policies can be bypassed via Module._load (CVE-2023-32002)
    * nodejs-semver: Regular expression denial of service (CVE-2022-25883)
    * nodejs: Permissions policies can impersonate other modules in using module.constructor.createRequire()     (CVE-2023-32006)
    * nodejs: Permissions policies can be bypassed via process.binding (CVE-2023-32559)

Tenable has extracted the preceding description block directly from the AlmaLinux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2023:5361 advisory.

    Node.js is a software development platform for building fast and scalable network applications in the     JavaScript programming language.

    The following packages have been upgraded to a later upstream version: nodejs (16). (BZ#2223679,     BZ#2223681, BZ#2223683, BZ#2223685, BZ#2223687, BZ#2233892)

    Security Fix(es):

    * nodejs: Permissions policies can be bypassed via Module._load (CVE-2023-32002)

    * nodejs-semver: Regular expression denial of service (CVE-2022-25883)

    * nodejs: mainModule.proto bypass experimental policy mechanism (CVE-2023-30581)

    * nodejs: process interuption due to invalid Public Key information in x509 certificates (CVE-2023-30588)

    * nodejs: HTTP Request Smuggling via Empty headers separated by CR (CVE-2023-30589)

    * nodejs: DiffieHellman do not generate keys after setting a private key (CVE-2023-30590)

    * nodejs: Permissions policies can impersonate other modules in using module.constructor.createRequire()     (CVE-2023-32006)

    * nodejs: Permissions policies can be bypassed via process.binding (CVE-2023-32559)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

    Bug Fix(es):

    * nodejs:16/nodejs: nodejs.prov doesn't generate the bundled dependency for modules starting @ like     @colors/colors (BZ#2237395)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2023:5533 advisory.

    Node.js is a software development platform for building fast and scalable network applications in the     JavaScript programming language.

    The package has been upgraded to a later upstream version: nodejs (16.20.2).

    Security Fix(es):

    * nodejs: Permissions policies can be bypassed via Module._load (CVE-2023-32002)

    * c-ares: buffer overflow in config_sortlist() due to missing string length check (CVE-2022-4904)

    * http-cache-semantics: Regular Expression Denial of Service (ReDoS) vulnerability (CVE-2022-25881)

    * Node.js: Fetch API did not protect against CRLF injection in host headers (CVE-2023-23936)

    * nodejs: mainModule.proto bypass experimental policy mechanism (CVE-2023-30581)

    * nodejs: process interuption due to invalid Public Key information in x509 certificates (CVE-2023-30588)

    * nodejs: HTTP Request Smuggling via Empty headers separated by CR (CVE-2023-30589)

    * nodejs: DiffieHellman do not generate keys after setting a private key (CVE-2023-30590)

    * nodejs: Permissions policies can impersonate other modules in using module.constructor.createRequire()     (CVE-2023-32006)

    * nodejs: Permissions policies can be bypassed via process.binding (CVE-2023-32559)

    * Node.js: insecure loading of ICU data through ICU_DATA environment variable (CVE-2023-23920)

    * Node.js: Regular Expression Denial of Service in Headers fetch API (CVE-2023-24807)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

    Bug Fix(es):

    * nodejs: Rebase to the latest Nodejs 16 release [rhel-9] (BZ#2236435, BZ#2178078, BZ#2223335)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2023:3455-1 advisory.

  - A privilege escalation vulnerability exists in Node.js <19.6.1, <18.14.1, <16.19.1 and <14.21.3 that made     it possible to bypass the experimental Permissions (https://nodejs.org/api/permissions.html) feature in     Node.js and access non authorized modules by using process.mainModule.require(). This only affects users     who had enabled the experimental permissions option with --experimental-policy. (CVE-2023-23918)

  - ## 2023-06-20, Version 16.20.1 'Gallium' (LTS), @RafaelGSS  This is a security release.  ### Notable     Changes  The following CVEs are fixed in this release:  * [CVE-2023-30581](https://cve.mitre.org/cgi-     bin/cvename.cgi?name=CVE-2023-30581): `mainModule.__proto__` Bypass Experimental Policy Mechanism (High) *     [CVE-2023-30585](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30585): Privilege escalation via     Malicious Registry Key manipulation during Node.js installer repair process (Medium) *     [CVE-2023-30588](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30588): Process interuption due     to invalid Public Key information in x509 certificates (Medium) *     [CVE-2023-30589](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30589): HTTP Request Smuggling     via Empty headers separated by CR (Medium) * [CVE-2023-30590](https://cve.mitre.org/cgi-     bin/cvename.cgi?name=CVE-2023-30590): DiffieHellman does not generate keys after setting a private key     (Medium) * OpenSSL Security Releases   * [OpenSSL security advisory 28th     March](https://www.openssl.org/news/secadv/20230328.txt).   * [OpenSSL security advisory 20th     April](https://www.openssl.org/news/secadv/20230420.txt).   * [OpenSSL security advisory 30th     May](https://www.openssl.org/news/secadv/20230530.txt) * c-ares vulnerabilities:   *     [GHSA-9g78-jv2r-p7vc](https://github.com/c-ares/c-ares/security/advisories/GHSA-9g78-jv2r-p7vc)   *     [GHSA-8r8p-23f3-64c2](https://github.com/c-ares/c-ares/security/advisories/GHSA-8r8p-23f3-64c2)   *     [GHSA-54xr-f67r-4pc4](https://github.com/c-ares/c-ares/security/advisories/GHSA-54xr-f67r-4pc4)   *     [GHSA-x6mf-cxr9-8q6v](https://github.com/c-ares/c-ares/security/advisories/GHSA-x6mf-cxr9-8q6v)  More     detailed information on each of the vulnerabilities can be found in [June 2023 Security     Releases](https://nodejs.org/en/blog/vulnerability/june-2023-security-releases/) blog post.
    (CVE-2023-30581, CVE-2023-30590)

  - The llhttp parser in the http module in Node v20.2.0 does not strictly use the CRLF sequence to delimit     HTTP requests. This can lead to HTTP Request Smuggling (HRS). The CR character (without LF) is sufficient     to delimit HTTP header fields in the llhttp parser. According to RFC7230 section 3, only the CRLF sequence     should delimit each header-field. This impacts all Node.js active versions: v16, v18, and, v20     (CVE-2023-30589)

  - The use of `Module._load()` can bypass the policy mechanism and require modules outside of the policy.json     definition for a given module. This vulnerability affects all users using the experimental policy     mechanism in all active release lines: 16.x, 18.x and, 20.x. Please note that at the time this CVE was     issued, the policy is an experimental feature of Node.js. (CVE-2023-32002)

  - The use of `module.constructor.createRequire()` can bypass the policy mechanism and require modules     outside of the policy.json definition for a given module. This vulnerability affects all users using the     experimental policy mechanism in all active release lines: 16.x, 18.x, and, 20.x. Please note that at the     time this CVE was issued, the policy is an experimental feature of Node.js. (CVE-2023-32006)

  - A privilege escalation vulnerability exists in the experimental policy mechanism in all active release     lines: 16.x, 18.x and, 20.x. The use of the deprecated API `process.binding()` can bypass the policy     mechanism by requiring internal modules and eventually take advantage of `process.binding('spawn_sync')`     run arbitrary code, outside of the limits defined in a `policy.json` file. Please note that at the time     this CVE was issued, the policy is an experimental feature of Node.js. (CVE-2023-32559)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Oracle Linux 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the ELSA-2023-5363 advisory.

    - Rebase to version 18.17.1       Resolves: rhbz#2228940       Resolves: CVE-2023-32002 CVE-2023-32006 CVE-2023-32559

Tenable has extracted the preceding description block directly from the Oracle Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLES12 / SLES_SAP12 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2023:3356-1 advisory.

  - https://nodejs.org/en/blog/vulnerability/august-2023-security-releases  Security releases available     Updates are now available for the v16.x, v18.x, and v20.x Node.js release lines for the following issues.
    Permissions policies can be bypassed via Module._load (HIGH)(CVE-2023-32002) The use of Module._load() can     bypass the policy mechanism and require modules outside of the policy.json definition for a given module.
    Please note that at the time this CVE was issued, the policy mechanism is an experimental feature of     Node.js.  Impacts:  This vulnerability affects all users using the experimental policy mechanism in all     active release lines: 16.x, 18.x and, 20.x. Thank you, to mattaustin for reporting this vulnerability and     thank you Rafael Gonzaga and Bradley Farias for fixing it.  Permission model bypass by specifying a path     traversal sequence in a Buffer (HIGH)(CVE-2023-32004) A vulnerability has been discovered in Node.js     version 20, specifically within the experimental permission model. This flaw relates to improper handling     of Buffers in file system APIs causing a traversal path to bypass when verifying file permissions.  Please     note that at the time this CVE was issued, the permission model is an experimental feature of Node.js.
    Impacts:  This vulnerability affects all users using the experimental permission model in Node.js 20.
    Thank you, to Axel Chong for reporting this vulnerability and thank you Rafael Gonzaga for fixing it.
    process.binding() can bypass the permission model through path traversal (HIGH)(CVE-2023-32558) The use of     the deprecated API process.binding() can bypass the permission model through path traversal.  Please note     that at the time this CVE was issued, the permission model is an experimental feature of Node.js.
    Impacts:  This vulnerability affects all users using the experimental permission model in Node.js 20.
    Thank you to Rafael Gonzaga for reporting and fixing this vulnerability.  Permissions policies can     impersonate other modules in using module.constructor.createRequire() (MEDIUM)(CVE-2023-32006) The use of     module.constructor.createRequire() can bypass the policy mechanism and require modules outside of the     policy.json definition for a given module.  Please note that at the time this CVE was issued, the policy     mechanism is an experimental feature of Node.js.  Impacts:  This vulnerability affects all users using the     experimental policy mechanism in all active release lines: 16.x, 18.x and, 20.x. Thank you, to Axel Chong     for reporting this vulnerability and thank you Rafael Gonzaga and Bradley Farias for fixing it.
    Permissions policies can be bypassed via process.binding (MEDIUM)(CVE-2023-32559) The use of the     deprecated API process.binding() can bypass the policy mechanism by requiring internal modules and     eventually take advantage of process.binding('spawn_sync') run arbitrary code, outside of the limits     defined in a policy.json file.  Please note that at the time this CVE was issued, the policy is an     experimental feature of Node.js.  Impacts  This vulnerability affects all users using the experimental     policy mechanism in all active release lines: 16.x, 18.x and, 20.x. Thank you, to LeoDog896 for reporting     this vulnerability and thank you Tobias Nieen for fixing it.  fs.statfs can retrive stats from files     restricted by the Permission Model (LOW)(CVE-2023-32005) A vulnerability has been identified in Node.js     version 20, affecting users of the experimental permission model when the --allow-fs-read flag is used     with a non-* argument.  This flaw arises from an inadequate permission model that fails to restrict file     stats through the fs.statfs API. As a result, malicious actors can retrieve stats from files that they do     not have explicit read access to.  Please note that at the time this CVE was issued, the permission model     is an experimental feature of Node.js.  Impacts:  This vulnerability affects all users using the     experimental permission model in Node.js 20. Thank you to Rafael Gonzaga for reporting and fixing this     vulnerability.  fs.mkdtemp() and fs.mkdtempSync() are missing getValidatedPath() checks     (LOW)(CVE-2023-32003) fs.mkdtemp() and fs.mkdtempSync() can be used to bypass the permission model check     using a path traversal attack. This flaw arises from a missing check in the fs.mkdtemp() API and the     impact is a malicious actor could create an arbitrary directory.  Please note that at the time this CVE     was issued, the permission model is an experimental feature of Node.js.  Impacts:  This vulnerability     affects all users using the experimental permission model in Node.js 20. Thank you, to Axel Chong for     reporting this vulnerability and thank you Rafael Gonzaga for fixing it.  Downloads and release details     Node.js v16.20.2 (LTS) Node.js v18.17.1 (LTS) Node.js v20.5.1 (Current) (Update 08-Aug-2023) Security     Release target August 9th The Node.js Security Releases will be available on, or shortly after, Wednesday,     August 9th, 2023.  Summary The Node.js project will release new versions of the 16.x, 18.x and 20.x     releases lines on or shortly after, Tuesday August 8th 2023 in order to address:  3 high severity issues.
    2 medium severity issues. 2 low severity issues. OpenSSL Security updates This security release includes     the following OpenSSL security updates  OpenSSL security advisory 14th July. OpenSSL security advisory     19th July. OpenSSL security advisory 31st July. Impact The 20.x release line of Node.js is vulnerable to 3     high severity issues, 2 medium severity issues, and 2 low severity issues.  The 18.x release line of     Node.js is vulnerable to 1 high severity issue, and 2 medium severity issues.  The 16.x release line of     Node.js is vulnerable to 1 high severity issue, and 2 medium severity issues. (CVE-2023-32002,     CVE-2023-32559)

  - The use of `module.constructor.createRequire()` can bypass the policy mechanism and require modules     outside of the policy.json definition for a given module. This vulnerability affects all users using the     experimental policy mechanism in all active release lines: 16.x, 18.x, and, 20.x. Please note that at the     time this CVE was issued, the policy is an experimental feature of Node.js. (CVE-2023-32006)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2023:5362 advisory.

    Node.js is a software development platform for building fast and scalable network applications in the     JavaScript programming language.

    The following packages have been upgraded to a later upstream version: nodejs (18). (BZ#2234409)

    Security Fix(es):

    * nodejs: Permissions policies can be bypassed via Module._load (CVE-2023-32002)

    * nodejs-semver: Regular expression denial of service (CVE-2022-25883)

    * nodejs: Permissions policies can impersonate other modules in using module.constructor.createRequire()     (CVE-2023-32006)

    * nodejs: Permissions policies can be bypassed via process.binding (CVE-2023-32559)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモートの AlmaLinux 8 ホストに、ALSA-2023:5362 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    * nodejs: アクセス許可ポリシーは、Module._load を介してバイパスされる可能性があります (CVE-2023-32002)
    * nodejs-semver: 正規表現のサービス拒否 (CVE-2022-25883)
    * nodejs: 権限ポリシーが、module.constructor.createRequire() を使用する際に他のモジュールになりすます可能性があります (CVE-2023-32006)
    * nodejs: 権限ポリシーは、process.binding を介してバイパスされる可能性があります (CVE-2023-32559)

Tenable は、前述の記述ブロックを AlmaLinux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2023:3356-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  以下の問題について、https://nodejs.org/en/blog/vulnerability/august-2023-security-releasesSecurity の利用可能なリリース v16.x、v18.x および v20.x Node.js リリースラインで更新が利用可能になりました。
    アクセス許可ポリシーは、Module._load (重要度高)(CVE-2023-32002) を介してバイパスされる可能性があります。Module._load() を使用すると、ポリシーメカニズムを回避し、特定のモジュールの policy.json の定義外でモジュールを要求できる可能性があります。
    注意: この CVE が発行された時点では、このポリシーメカニズムは Node.js の実験的な機能です。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。この脆弱性を報告してくれた mattaustin 氏に、および修正してくれた Rafael Gonzaga 氏、および Bradley Farias 氏に感謝の意を表します。Buffer (重要度高)(CVE-2023-32004) でパストラバーサルシーケンスを指定することで、アクセス許可モデルがバイパスされる可能性があります。Node.js バージョン 20 で、特に実験的なアクセス許可モデル内に脆弱性が発見されました。この欠陥は、ファイルアクセス許可を検証する際にパストラバーサルをバイパスさせるファイルシステム API におけるバッファの不適切な処理に関連しています。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。
    影響: この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。
    この脆弱性を報告してくれた Axel Chong 氏に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。
    process.binding() が、パストラバーサルを通じてアクセス許可モデルをバイパスする可能性があります (重要度高)(CVE-2023-32558)。廃止予定の API process.binding() を使用すると、パストラバーサルを通じてアクセス許可モデルがバイパスされる可能性があります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。
    影響: この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。
    この脆弱性を報告し修正してくださった Rafael Gonzaga 氏に感謝の意を表します。- module.constructor.createRequire() を使用することで、アクセス許可ポリシーが他のモジュールになりすます可能性があります (重要度中)(CVE-2023-32006)。module.constructor.createRequire() の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。注意: この CVE が発行された時点では、このポリシーメカニズムは Node.js の実験的な機能です。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。この脆弱性を報告してくださった Axel Chong 氏に、および修正してくださった Rafael Gonzaga 氏と Bradley Farias 氏に感謝の意を表します。
    process.binding() を介してアクセス許可ポリシーがバイパスされる可能性があります (重要度中)(CVE-2023-32559)。廃止予定の API process.binding() の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に process.binding('spawn_sync') を利用して、policy.json ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。この脆弱性を報告してくださった LeoDog896 氏、および修正してくれた Tobias Nieen 氏に感謝の意を表します。fs.statfs は、アクセス許可モデルによって制限されているファイルから統計情報を取得する可能性があります (重要度低)(CVE-2023-32005)。Node.js バージョン 20 において、実験的なアクセス許可モデルを使用しているユーザーで、--allow-fs-read flag が non-* 引数とともに使用された場合に影響を受ける脆弱性が特定されました。この欠陥は、fs.statfs API を通じてファイル統計を制限できないという、不十分なアクセス許可モデルに起因しています。その結果、悪意のある攻撃者は、明示的な読み取りアクセス権がないファイルから統計情報を取得できる可能性があります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。影響: この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。この脆弱性を報告し、修正してくださった Rafael Gonzaga 氏に感謝の意を表します。fs.mkdtemp() と fs.mkdtempSync() で getValidatedPath() チェックが欠落しています (重要度低)(CVE-2023-32003)。fs.mkdtemp() と fs.mkdtempSync() は、パストラバーサル攻撃を使用してアクセス許可モデルチェックをバイパスするために使用される可能性があります。この欠陥は、fs.mkdtemp() API にチェックがないことから発生します。その影響として、悪意のある攻撃者が任意のディレクトリを作成する可能性があります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。影響: この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。この脆弱性を報告してくれた Axel Chong 氏に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。ダウンロードとリリースの詳細: Node.js v16.20.2 (LTS) Node.js v18.17.1 (LTS) Node.js v20.5.1 (Current)(2023 年 8 月 8 日更新) セキュリティリリース予定日 8 月 9 日 Node.js セキュリティリリースは、2023 年 8 月 9 日水曜日、またはそれ以降に利用可能になります。まとめ: Node.js プロジェクトは、以下に対処するために、2023 年 8 月 8 日火曜日かその直後に、16.x、18.x および 20.x リリースラインの新しいバージョンをリリースします。3 つの重要度高の問題。
    2 つの重要度中の問題。2 つの重要度低の問題。OpenSSL セキュリティ更新: このセキュリティリリースには、以下の OpenSSL セキュリティ更新が含まれます。OpenSSL セキュリティアドバイザリ (7 月 14 日)。OpenSSL セキュリティアドバイザリ (7 月 19 日)。OpenSSL セキュリティアドバイザリ (7 月 31 日)。影響: Node.js 20.x リリースラインは、3 つの重要度高の問題、2 つの重要度中の問題、2 つの重要度低の問題に対して脆弱です。Node.js 18.x のリリースラインは、1 つの重要度高の問題と 2 つの重要度中の問題に対して脆弱です。Node.js 16.x のリリースラインは、1 つの重要度高の問題と 2 つの重要度中の問題に対して脆弱です。(CVE-2023-32002、CVE-2023-32559)

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15/ SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:3455-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 権限昇格の脆弱性が Node.js <19.6.1、<18.14.1、<16.19.1 および <14.21.3 に存在します。これにより、Node.js の実験的なアクセス許可 (https://nodejs.org/api/permissions.html) 機能をバイパスし、process.mainModule.require() を使用して非認証モジュールにアクセスすることができます。これは、--experimental-policy で実験的なアクセス許可オプションを有効にしたユーザーにのみ影響します。(CVE-2023-23918)

  - ## 2023-06-20、バージョン 16.20.1'Gallium' (LTS)、@RafaelGSS これはセキュリティリリースです。### 重要な変更次の CVE がこのリリースで修正されています: * [CVE-2023-30581](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30581): 「mainModule.__proto__」試験的なポリシーメカニズムをバイパス (重要度高) * [CVE-2023-30585](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30585): Node.js インストーラー修復プロセス中の悪意のあるレジストリキーの操作による権限昇格 (重要度中) * [CVE-2023-30588](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30588): x509 証明書の無効な公開鍵情報によるプロセスの中断 (重要度中) * [CVE-2023-30589](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30589): CR で区切られた空のヘッダーを介する HTTP リクエストのスマグリング (重要度中) * [CVE-2023-30590](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30590): DiffieHellman は、秘密鍵の設定後にキーを生成しません (重要度中) * OpenSSL セキュリティリリース * [3 月 28 日の OpenSSL セキュリティアドバイザリ] (https://www.openssl.org/news/secadv/20230328.txt)。* [4 月 20 日の OpenSSL セキュリティアドバイザリ] (https://www.openssl.org/news/secadv/20230420.txt)。* [5 月 30 日の OpenSSL セキュリティアドバイザリ] (https://www.openssl.org/news/secadv/20230530.txt) * c-ares の脆弱性: * [GHSA-9g78-jv2r-p7vc](https://github.com/c-ares/c-ares/security/advisories/GHSA-9g78-jv2r-p7vc) * [GHSA-8r8p-23f3-64c2](https://github.com/c-ares/c-ares/security/advisories/GHSA-8r8p-23f3-64c2) * [GHSA-54xr-f67r-4pc4](https://github.com/c-ares/c-ares/security/advisories/GHSA-54xr-f67r-4pc4) * [GHSA-x6mf-cxr9-8q6v](https://github.com/c-ares/c-ares/security/advisories/GHSA-x6mf-cxr9-8q6v) 各脆弱性の詳細情報については、[2023 年 6 月のセキュリティリリース] (https://nodejs.org/en/blog/vulnerability/june-2023-security-releases/) ブログ投稿を参照してください。
    (CVE-2023-30581、CVE-2023-30590)

  - Node v20.2.0 の http モジュールの llhttp パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。CR 文字 (LF なし) は、llhttp パーサーの HTTP ヘッダーフィールドを区切るのに十分です。RFC7230 セクション 3 によると、CRLF シーケンスだけが各ヘッダーフィールドを区切る必要があります。これは、次のすべての Node.js アクティブバージョンに影響します。v16、v18、v20 (CVE-2023-30589)

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

  - すべてのアクティブなリリースラインの実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。16.x、18.x、20.x。廃止予定の API「process.binding()」の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に「process.binding(「spawn_sync」)」を利用して、「policy.json」ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Oracle Linux 9 ホストに、ELSA-2023-5363アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

  - 7.5.2 より前のパッケージ semver のバージョンは、信頼できないユーザーデータが範囲として提供される場合、新しい範囲の関数を介した正規表現のサービス拒否（ReDoS）に対して脆弱です。(CVE-2022-25883)

  - すべてのアクティブなリリースラインの実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。16.x、18.x、20.x。廃止予定の API「process.binding()」の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に「process.binding(「spawn_sync」)」を利用して、「policy.json」ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2023: 5362 に記載されている複数の脆弱性の影響を受けます。

  - 7.5.2 より前のパッケージ semver のバージョンは、信頼できないユーザーデータが範囲として提供される場合、新しい範囲の関数を介した正規表現のサービス拒否（ReDoS）に対して脆弱です。(CVE-2022-25883)

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

  - すべてのアクティブなリリースラインの実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。16.x、18.x、20.x。廃止予定の API「process.binding()」の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に「process.binding(「spawn_sync」)」を利用して、「policy.json」ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 9 ホストにインストールされているパッケージは、RHSA-2023: 5533 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - これは 4.1.1より前のバージョンの http-cache-semantics のバージョンに影響します。サーバーに送信された悪意のあるリクエストヘッダーの値を介して、この問題が悪用される可能性があります。これはサーバーがこのライブラリを使用しているリクエストからキャッシュポリシーを読み取る場合です。(CVE-2022-25881)

  - c-ares パッケージに欠陥が見つかりました。ares_set_sortlist に、入力文字列の有効性に関するチェックがないため、任意の長さのスタックオーバーフローが発生する可能性があります。この問題により、サービス拒否または機密性と整合性への限定的な影響が発生する可能性があります。(CVE-2022-4904)

  - Node.js <19.6.1、<18.14.1、<16.19.1、<14.21.3 には信頼できない検索パスの脆弱性が存在します。これにより、攻撃者が昇格した権限で実行しているときに ICU データを検索して読み込む可能性があります。
    (CVE-2023-23920)

  - undici は Node.js 用の HTTP/1.1 クライアントです。バージョン 2.0.0以降、バージョン 5.19.1より前の undici ライブラリは「host」HTTP ヘッダーを CRLF インジェクションの脆弱性から保護しません。この問題は、Undici v5.19.1 でパッチされています。回避策として、undici に渡す前に「headers.host」文字列をサニタイズしてください。
    (CVE-2023-23936)

  - undici は Node.js 用の HTTP/1.1 クライアントです。バージョン 5.19.1より前の「Headers.set()」および「Headers.append()」メソッドは、信頼できない値が関数に渡された場合の正規表現サービス拒否 (ReDoS) 攻撃に対して脆弱です。この原因は「headerValueNormalize()」ユーティリティ関数の中の値を正規化するために使用される非効率的な正規表現です。この脆弱性は v5.19.1 でパッチされました。既知の回避策はありません。(CVE-2023-24807)

  - process.mainModule.proto.require() で __proto__ を使用すると、ポリシーメカニズムがバイパスされ、policy.json 定義外のモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。v16、v18、および v20。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-30581)

  - crypto.X509Certificate() API を使用して x509 証明書を作成するために無効な公開鍵が使用されると、予期しない終了が発生し、ユーザーコードから提供された証明書の公開鍵情報にアクセスする際にプロセスが終了するため、攻撃者がアプリケーション処理を強制的に中断させる DoS 攻撃を受ける可能性があります。ユーザーの現在のコンテキストがなくなり、DoS シナリオが発生します。この脆弱性は、すべてのアクティブな Node.js バージョン v16、v18、v20 に影響します。(CVE-2023-30588)

  - Node v20.2.0 の http モジュールの llhttp パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。CR 文字 (LF なし) は、llhttp パーサーの HTTP ヘッダーフィールドを区切るのに十分です。RFC7230 セクション 3 によると、CRLF シーケンスだけが各ヘッダーフィールドを区切る必要があります。これは、次のすべての Node.js アクティブバージョンに影響します。v16、v18、v20 (CVE-2023-30589)

  - crypto.createDiffieHellman() から返された generateKeys() API 関数は、欠落している (または古い) 鍵のみを生成します。つまり、何も設定されていない場合にのみ、秘密鍵を生成します。ただし、この関数は setPrivateKey() の呼び出し後に対応する公開鍵を計算するためにも必要です。ただし、ドキュメントには次の API 呼び出しが記載されています。プライベートおよびパブリックの Diffie-Hellman キー鍵の値を生成します。文書化された動作は実際の動作とは異なります。DiffieHellman がアプリケーションレベルのセキュリティの基礎として使用される可能性があるため、この相違により、これらの API を使用するアプリケーションでセキュリティの問題が簡単に発生する可能性があります。したがって、その影響は大きくなります。(CVE-2023-30590)

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

  - すべてのアクティブなリリースラインの実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。16.x、18.x、20.x。廃止予定の API「process.binding()」の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に「process.binding(「spawn_sync」)」を利用して、「policy.json」ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2023: 5361 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 7.5.2 より前のパッケージ semver のバージョンは、信頼できないユーザーデータが範囲として提供される場合、新しい範囲の関数を介した正規表現のサービス拒否（ReDoS）に対して脆弱です。(CVE-2022-25883)

  - process.mainModule.proto.require() で __proto__ を使用すると、ポリシーメカニズムがバイパスされ、policy.json 定義外のモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。v16、v18、および v20。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-30581)

  - crypto.X509Certificate() API を使用して x509 証明書を作成するために無効な公開鍵が使用されると、予期しない終了が発生し、ユーザーコードから提供された証明書の公開鍵情報にアクセスする際にプロセスが終了するため、攻撃者がアプリケーション処理を強制的に中断させる DoS 攻撃を受ける可能性があります。ユーザーの現在のコンテキストがなくなり、DoS シナリオが発生します。この脆弱性は、すべてのアクティブな Node.js バージョン v16、v18、v20 に影響します。(CVE-2023-30588)

  - Node v20.2.0 の http モジュールの llhttp パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。CR 文字 (LF なし) は、llhttp パーサーの HTTP ヘッダーフィールドを区切るのに十分です。RFC7230 セクション 3 によると、CRLF シーケンスだけが各ヘッダーフィールドを区切る必要があります。これは、次のすべての Node.js アクティブバージョンに影響します。v16、v18、v20 (CVE-2023-30589)

  - crypto.createDiffieHellman() から返された generateKeys() API 関数は、欠落している (または古い) 鍵のみを生成します。つまり、何も設定されていない場合にのみ、秘密鍵を生成します。ただし、この関数は setPrivateKey() の呼び出し後に対応する公開鍵を計算するためにも必要です。ただし、ドキュメントには次の API 呼び出しが記載されています。プライベートおよびパブリックの Diffie-Hellman キー鍵の値を生成します。文書化された動作は実際の動作とは異なります。DiffieHellman がアプリケーションレベルのセキュリティの基礎として使用される可能性があるため、この相違により、これらの API を使用するアプリケーションでセキュリティの問題が簡単に発生する可能性があります。したがって、その影響は大きくなります。(CVE-2023-30590)

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

  - すべてのアクティブなリリースラインの実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。16.x、18.x、20.x。廃止予定の API「process.binding()」の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に「process.binding(「spawn_sync」)」を利用して、「policy.json」ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
181897	AlmaLinux 8 : nodejs:18 (ALSA-2023:5362)	Nessus	Alma Linux Local Security Checks	2023/9/26	2025/1/13	critical
181892	RHEL 8 : nodejs:16 (RHSA-2023:5361)	Nessus	Red Hat Local Security Checks	2023/9/26	2024/11/7	critical
195166	GLSA-202405-29 : Node.js: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	2024/5/8	2024/5/8	critical
182781	RHEL 9 : nodejs (RHSA-2023:5533)	Nessus	Red Hat Local Security Checks	2023/10/9	2024/11/7	critical
180305	SUSE SLES15 / openSUSE 15 Security Update : nodejs12 (SUSE-SU-2023:3455-1)	Nessus	SuSE Local Security Checks	2023/8/30	2023/8/30	critical
182518	Oracle Linux 9 : nodejs:18 (ELSA-2023-5363)	Nessus	Oracle Linux Local Security Checks	2023/10/4	2025/9/9	critical
179987	SUSE SLES12 Security Update : nodejs18 (SUSE-SU-2023:3356-1)	Nessus	SuSE Local Security Checks	2023/8/19	2023/9/26	critical
181893	RHEL 8 : nodejs:18 (RHSA-2023:5362)	Nessus	Red Hat Local Security Checks	2023/9/26	2025/3/6	critical
181897	AlmaLinux 8: nodejs:18 (ALSA-2023:5362)	Nessus	Alma Linux Local Security Checks	2023/9/26	2025/1/13	critical
179987	SUSE SLES12セキュリティ更新プログラム：nodejs18 (SUSE-SU-2023:3356-1)	Nessus	SuSE Local Security Checks	2023/8/19	2023/9/26	critical
180305	SUSE SLES15/ openSUSE 15 セキュリティ更新: nodejs12 (SUSE-SU-2023:3455-1)	Nessus	SuSE Local Security Checks	2023/8/30	2023/8/30	critical
182518	Oracle Linux 9 : nodejs: 18 (ELSA-2023-5363)	Nessus	Oracle Linux Local Security Checks	2023/10/4	2025/9/9	critical
181893	RHEL 8: nodejs: 18 (RHSA-2023: 5362)	Nessus	Red Hat Local Security Checks	2023/9/26	2025/3/6	critical
182781	RHEL 9 : nodejs (RHSA-2023: 5533)	Nessus	Red Hat Local Security Checks	2023/10/9	2024/11/7	critical
181892	RHEL 8: nodejs: 16 (RHSA-2023: 5361)	Nessus	Red Hat Local Security Checks	2023/9/26	2024/11/7	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical