遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2023: 5361 公告中提及的多個弱點影響。

  - 將未受信任的使用者資料作為範圍提供時，7.5.2 之前版本的 semver 套件容易受到透過此函式新範圍造成的規則運算式拒絕服務 (ReDoS) 弱點影響。(CVE-2022-25883)

  - process.mainModule.__proto__.require() 中使用的 __proto__ 可繞過原則機制，並要求 policy.json 定義之外的模組。此弱點會影響在下列所有有效版本系列中使用實驗性原則機制的所有使用者：v16、v18 和 v20。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能 (CVE-2023-30581)

  - 使用無效的公開金鑰建立使用 crypto.X509Certificate() API 的 x509 憑證時，會發生意外終止。如果攻擊者可強制中斷應用程式處理，則程式容易受到 DoS 攻擊，這是因為處理程序在從使用者程式碼存取所提供之憑證的公開金鑰資訊時會發生終止。使用者的目前內容會消失，進而造成 DoS 狀況。此弱點會影響所有有效的 Node.js v16、v18 和 v20 版本。(CVE-2023-30588)

  - Node v20.2.0 http 模組中的 llhttp 剖析器未嚴格使用 CRLF 序列來分隔 HTTP 要求。這可導致 HTTP 要求走私 (HRS)。CR 字元 (不含 LF) 足以分隔 llhttp 剖析器中的 HTTP 標頭欄位。根據 RFC7230 第 3 節，只有 CRLF 序列應該分隔每個標頭欄位。此弱點會影響所有使用中的 Node.js 版本：v16、v18 和 v20 (CVE-2023-30589)

  - 從 crypto.createDiffieHellman() 傳回的 generateKeys() API 函式只會產生缺失 (或過時) 的金鑰，也就是說，如果尚未設定任何金鑰，則只會產生私密金鑰。但是，在呼叫 setPrivateKey() 後，也需要此函式來計算相應的公開金鑰。但是，說明文件指出此 API 呼叫：會產生私密和公開 Diffie-Hellman 金鑰值。記錄的行為與實際行為不同，因為 DiffieHellman 可作為應用程式層級安全性的基礎，所以此差異很容易在使用這些 API 的應用程式中造成安全性問題，最後造成廣泛影響。(CVE-2023-30590)

  - 使用「Module._load()」可繞過原則機制，並針對特定模組要求 policy.json 定義之外的模組。此弱點會影響在下列所有有效版本系列中使用實驗性原則機制的所有使用者：16.x、18.x 和 20.x。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能。(CVE-2023-32002)

  - 使用「module.constructor.createRequire()」可繞過原則機制，並針對特定模組要求 policy.json 定義之外的模組。此弱點會影響在下列所有有效版本系列中使用實驗性原則機制的所有使用者：16.x、18.x 和 20.x。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能。(CVE-2023-32006)

  - 在所有使用中版本行的實驗性原則機制中，存在一個權限提升弱點：16.x、18.x 和 20.x。使用過時 API「process.binding()」可透過要求內部模組來繞過原則機制，並最終利用「process.binding('spawn_sync')」執行在「policy.json」檔案中定義的限制之外的任意程式碼。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能。(CVE-2023-32559)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2023: 5362 公告中提及的多個弱點影響。

  - 將未受信任的使用者資料作為範圍提供時，7.5.2 之前版本的 semver 套件容易受到透過此函式新範圍造成的規則運算式拒絕服務 (ReDoS) 弱點影響。(CVE-2022-25883)

  - 使用「Module._load()」可繞過原則機制，並針對特定模組要求 policy.json 定義之外的模組。此弱點會影響在下列所有有效版本系列中使用實驗性原則機制的所有使用者：16.x、18.x 和 20.x。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能。(CVE-2023-32002)

  - 使用「module.constructor.createRequire()」可繞過原則機制，並針對特定模組要求 policy.json 定義之外的模組。此弱點會影響在下列所有有效版本系列中使用實驗性原則機制的所有使用者：16.x、18.x 和 20.x。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能。(CVE-2023-32006)

  - 在所有使用中版本行的實驗性原則機制中，存在一個權限提升弱點：16.x、18.x 和 20.x。使用過時 API「process.binding()」可透過要求內部模組來繞過原則機制，並最終利用「process.binding('spawn_sync')」執行在「policy.json」檔案中定義的限制之外的任意程式碼。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能。(CVE-2023-32559)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 AlmaLinux 8 主機中安裝的套件受到 ALSA-2023:5362 公告中提及的多個弱點影響。

    * nodejs：可透過 Module._load 繞過權限原則 (CVE-2023-32002)
    * nodejs-semver：規則運算式拒絕服務 (CVE-2022-25883)
    * nodejs：權限原則可在使用 module.constructor.createRequire() 時模擬其他模組 (CVE-2023-32006)
    * nodejs：可透過 process.binding 繞過權限原則 (CVE-2023-32559)

Tenable 已直接從 AlmaLinux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 9 主機中安裝的套件受到 ELSA-2023-5363 公告中提及的多個弱點影響。

  - 使用「module.constructor.createRequire()」可繞過原則機制，並針對特定模組要求 policy.json 定義之外的模組。此弱點會影響在下列所有有效版本系列中使用實驗性原則機制的所有使用者：16.x、18.x 和 20.x。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能。(CVE-2023-32006)

  - 使用「Module._load()」可繞過原則機制，並針對特定模組要求 policy.json 定義之外的模組。此弱點會影響在下列所有有效版本系列中使用實驗性原則機制的所有使用者：16.x、18.x 和 20.x。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能。(CVE-2023-32002)

  - 將未受信任的使用者資料作為範圍提供時，7.5.2 之前版本的 semver 套件容易受到透過此函式新範圍造成的規則運算式拒絕服務 (ReDoS) 弱點影響。(CVE-2022-25883)

  - 在所有使用中版本行的實驗性原則機制中，存在一個權限提升弱點：16.x、18.x 和 20.x。使用過時 API「process.binding()」可透過要求內部模組來繞過原則機制，並最終利用「process.binding('spawn_sync')」執行在「policy.json」檔案中定義的限制之外的任意程式碼。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能。(CVE-2023-32559)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモートの Debian 11 ホストには、dla-3886 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-3886-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 9 月 14 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ: nodejs バージョン: 12.22.12~dfsg-1~deb11u5 CVE ID: CVE-2023-30589 CVE-2023-30590 CVE-2023-32559 CVE-2023-46809 CVE-2024-22019 CVE-2024-22025 CVE-2024-27982 CVE-2024-27983

    Web ブラウザ外 (サーバー側) で JavaScript コードを実行する Node.js の JavaScript ランタイム環境が脆弱でした。

    CVE-2023-30589

        Node の http モジュールの llhttp パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。CR 文字 (LF なし) は、llhttp パーサーの HTTP ヘッダーフィールドを区切るのに十分です。
        RFC7230 セクション 3 によると、CRLF シーケンスだけが各ヘッダーフィールドを区切る必要があります。

    CVE-2023-30590

        crypto.createDiffieHellman() から返された generateKeys() API 関数は、欠落している (または古い) 鍵のみを生成します。つまり、何も設定されていない場合にのみ、秘密鍵を生成します。ただし、この関数は setPrivateKey() の呼び出し後に対応する公開鍵を計算するためにも必要です。ただし、ドキュメントにはこの API 呼び出しは、秘密のおよび公開のディフィー・ヘルマン鍵値を生成すると記載されています。文書化されている動作は実際の動作と大きく異なり、この違いがセキュリティ問題につながりやすくなっています。

    CVE-2023-32559

        実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。
        廃止予定の API「process.binding()」の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に「process.binding(「spawn_sync」)」を利用して、「policy.json」ファイルで定義された制限外で任意のコードを実行する可能性があります

    CVE-2023-46809

        秘密鍵を使用して RSA 復号化を実行する際に PCKS #1 v1.5 パディングが許可されている場合、Node.js バージョンは Marvin 攻撃に脆弱です。

    CVE-2024-22019

        Node.js の HTTP サーバーの脆弱性により、攻撃者はチャンクエンコーディングを使用した特別に細工された HTTP リクエストを送信し、リソースの枯渇とサービス拒否 (DoS) を引き起こす可能性があります。
        サーバーは、チャンク拡張バイトに制限がないことを悪用して、1 つの接続から無制限にバイトを読み取ります。
        この問題により、タイムアウトや本文サイズ制限などの標準的な保護をバイパスして、CPU とネットワークの帯域幅を消費させる可能性があります。

    CVE-2024-22025

        Node.js の脆弱性が特定されました。fetch() 関数を使用して信頼できない URL からコンテンツを取得する際に、リソース枯渇によるサービス拒否 (DoS) 攻撃を受ける可能性があります。
        この脆弱性は、Node.js の fetch() 関数が常に Brotli をデコードすることにより、攻撃者が信頼できない URL からコンテンツをフェッチする際にリソースを枯渇させる可能性があることが原因です。
        fetch() に渡された URL を制御する攻撃者がこの脆弱性を悪用して、メモリを使い果たし、システム設定によってはプロセスを終了させる可能性があります。

    CVE-2024-27982

        不正なヘッダーは、HTTP リクエストスマグリングが引き起こされる可能性があります。具体的には、コンテンツ長ヘッダーの前にスペースがある場合、それは正しく解釈されず、攻撃者が最初のリクエストの本文内に 2 番目のリクエストを忍び込ませることができます。

    CVE-2024-27983

        攻撃者は、数個の HTTP/2 フレームを含んだ少量の HTTP/2 フレームパケットを送信することで、Node.js HTTP/2 サーバーを完全に利用不能にすることができます。リセット後に HTTP/2 CONTINUATION フレームのあるヘッダーがサーバーに送信され、TCP 接続がクライアントにより突然閉じられた場合、nghttp2 メモリに一部のデータを残すことが可能です。これにより、ヘッダーフレームの処理中 (およびメモリに保存中) に Http2Session デストラクターがトリガーされ、競合状態が発生します。

    Debian 11 bullseye においては、これらの問題はバージョン 12.22.12~dfsg-1~deb11u5 で修正されました。

    お使いの nodejs パッケージをアップグレードすることを推奨します。

    nodejs の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/nodejs

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES12/ SLES_SAP12 ホストには、SUSE-SU-2023:3306-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - ## 2023-06-20、バージョン 16.20.1'Gallium' (LTS)、@RafaelGSS これはセキュリティリリースです。### 重要な変更次の CVE がこのリリースで修正されています: * [CVE-2023-30581](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30581): 「mainModule.__proto__」試験的なポリシーメカニズムをバイパス (重要度高) * [CVE-2023-30585](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30585): Node.js インストーラー修復プロセス中の悪意のあるレジストリキーの操作による権限昇格 (重要度中) * [CVE-2023-30588](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30588): x509 証明書の無効な公開鍵情報によるプロセスの中断 (重要度中) * [CVE-2023-30589](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30589): CR で区切られた空のヘッダーを介する HTTP リクエストのスマグリング (重要度中) * [CVE-2023-30590](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30590): DiffieHellman は、秘密鍵の設定後にキーを生成しません (重要度中) * OpenSSL セキュリティリリース * [3 月 28 日の OpenSSL セキュリティアドバイザリ] (https://www.openssl.org/news/secadv/20230328.txt)。* [4 月 20 日の OpenSSL セキュリティアドバイザリ] (https://www.openssl.org/news/secadv/20230420.txt)。* [5 月 30 日の OpenSSL セキュリティアドバイザリ] (https://www.openssl.org/news/secadv/20230530.txt) * c-ares の脆弱性: * [GHSA-9g78-jv2r-p7vc](https://github.com/c-ares/c-ares/security/advisories/GHSA-9g78-jv2r-p7vc) * [GHSA-8r8p-23f3-64c2](https://github.com/c-ares/c-ares/security/advisories/GHSA-8r8p-23f3-64c2) * [GHSA-54xr-f67r-4pc4](https://github.com/c-ares/c-ares/security/advisories/GHSA-54xr-f67r-4pc4) * [GHSA-x6mf-cxr9-8q6v](https://github.com/c-ares/c-ares/security/advisories/GHSA-x6mf-cxr9-8q6v) 各脆弱性の詳細情報については、[2023 年 6 月のセキュリティリリース] (https://nodejs.org/en/blog/vulnerability/june-2023-security-releases/) ブログ投稿を参照してください。
    (CVE-2023-30581, CVE-2023-30590)

  - Node v20.2.0 の http モジュールの llhttp パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。CR 文字 (LF なし) は、llhttp パーサーの HTTP ヘッダーフィールドを区切るのに十分です。RFC7230 セクション 3 によると、CRLF シーケンスだけが各ヘッダーフィールドを区切る必要があります。これは、次のすべての Node.js アクティブバージョンに影響します。v16、v18、v20 (CVE-2023-30589)

  - Module._load() メソッドに対してセキュリティ制限が不適切に課されているために、この脆弱性が存在します。リモートの攻撃者が、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールを含めることができます。(CVE-2023-32002)

  - module.constructor.createRequire() メソッドに対してセキュリティ制限が不適切に課されているために、この脆弱性が存在します。リモートの攻撃者が、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールを含めることができます。(CVE-2023-32006)

  - 廃止予定の API process.binding() を使用するために、脆弱性が存在します。リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に process.binding('spawn_sync') を利用して、policy.json ファイルで定義された制限外で任意のコードを実行する可能性があります。
    (CVE-2023-32559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2023:3355-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  以下の問題について、https://nodejs.org/en/blog/vulnerability/august-2023-security-releasesSecurity の利用可能なリリース v16.x、v18.x および v20.x Node.js リリースラインで更新が利用可能になりました。
    アクセス許可ポリシーは、Module._load (重要度高)(CVE-2023-32002) を介してバイパスされる可能性があります。Module._load() を使用すると、ポリシーメカニズムを回避し、特定のモジュールの policy.json の定義外でモジュールを要求できる可能性があります。
    注意: この CVE が発行された時点では、このポリシーメカニズムは Node.js の実験的な機能です。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。この脆弱性を報告してくれた mattaustin 氏に、および修正してくれた Rafael Gonzaga 氏、および Bradley Farias 氏に感謝の意を表します。Buffer (重要度高)(CVE-2023-32004) でパストラバーサルシーケンスを指定することで、アクセス許可モデルがバイパスされる可能性があります。Node.js バージョン 20 で、特に実験的なアクセス許可モデル内に脆弱性が発見されました。この欠陥は、ファイルアクセス許可を検証する際にパストラバーサルをバイパスさせるファイルシステム API におけるバッファの不適切な処理に関連しています。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。
    影響: この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。
    この脆弱性を報告してくれた Axel Chong 氏に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。
    process.binding() が、パストラバーサルを通じてアクセス許可モデルをバイパスする可能性があります (重要度高)(CVE-2023-32558)。廃止予定の API process.binding() を使用すると、パストラバーサルを通じてアクセス許可モデルがバイパスされる可能性があります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。
    影響: この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。
    この脆弱性を報告し修正してくださった Rafael Gonzaga 氏に感謝の意を表します。- module.constructor.createRequire() を使用することで、アクセス許可ポリシーが他のモジュールになりすます可能性があります (重要度中)(CVE-2023-32006)。module.constructor.createRequire() の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。注意: この CVE が発行された時点では、このポリシーメカニズムは Node.js の実験的な機能です。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。この脆弱性を報告してくださった Axel Chong 氏に、および修正してくださった Rafael Gonzaga 氏と Bradley Farias 氏に感謝の意を表します。
    process.binding() を介してアクセス許可ポリシーがバイパスされる可能性があります (重要度中)(CVE-2023-32559)。廃止予定の API process.binding() の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に process.binding('spawn_sync') を利用して、policy.json ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。この脆弱性を報告してくださった LeoDog896 氏、および修正してくれた Tobias Nieen 氏に感謝の意を表します。fs.statfs は、アクセス許可モデルによって制限されているファイルから統計情報を取得する可能性があります (重要度低)(CVE-2023-32005)。Node.js バージョン 20 において、実験的なアクセス許可モデルを使用しているユーザーで、--allow-fs-read flag が non-* 引数とともに使用された場合に影響を受ける脆弱性が特定されました。この欠陥は、fs.statfs API を通じてファイル統計を制限できないという、不十分なアクセス許可モデルに起因しています。その結果、悪意のある攻撃者は、明示的な読み取りアクセス権がないファイルから統計情報を取得できる可能性があります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。影響: この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。この脆弱性を報告し、修正してくださった Rafael Gonzaga 氏に感謝の意を表します。fs.mkdtemp() と fs.mkdtempSync() で getValidatedPath() チェックが欠落しています (重要度低)(CVE-2023-32003)。fs.mkdtemp() と fs.mkdtempSync() は、パストラバーサル攻撃を使用してアクセス許可モデルチェックをバイパスするために使用される可能性があります。この欠陥は、fs.mkdtemp() API にチェックがないことから発生します。その影響として、悪意のある攻撃者が任意のディレクトリを作成する可能性があります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。影響: この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。この脆弱性を報告してくれた Axel Chong 氏に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。ダウンロードとリリースの詳細: Node.js v16.20.2 (LTS) Node.js v18.17.1 (LTS) Node.js v20.5.1 (Current)(2023 年 8 月 8 日更新) セキュリティリリース予定日 8 月 9 日 Node.js セキュリティリリースは、2023 年 8 月 9 日水曜日、またはそれ以降に利用可能になります。まとめ: Node.js プロジェクトは、以下に対処するために、2023 年 8 月 8 日火曜日かその直後に、16.x、18.x および 20.x リリースラインの新しいバージョンをリリースします。3 つの重要度高の問題。
    2 つの重要度中の問題。2 つの重要度低の問題。OpenSSL セキュリティ更新: このセキュリティリリースには、以下の OpenSSL セキュリティ更新が含まれます。OpenSSL セキュリティアドバイザリ (7 月 14 日)。OpenSSL セキュリティアドバイザリ (7 月 19 日)。OpenSSL セキュリティアドバイザリ (7 月 31 日)。影響: Node.js 20.x リリースラインは、3 つの重要度高の問題、2 つの重要度中の問題、2 つの重要度低の問題に対して脆弱です。Node.js 18.x のリリースラインは、1 つの重要度高の問題と 2 つの重要度中の問題に対して脆弱です。Node.js 16.x のリリースラインは、1 つの重要度高の問題と 2 つの重要度中の問題に対して脆弱です。(CVE-2023-32002、CVE-2023-32559)

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

したがって、ALAS2023-2023-304 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

  以下の問題について、https://nodejs.org/en/blog/vulnerability/august-2023-security-releasesSecurity の利用可能なリリース v16.x、v18.x および v20.x Node.js リリースラインで更新が利用可能になりました。
    アクセス許可ポリシーは、Module._load (重要度高)(CVE-2023-32002) を介してバイパスされる可能性があります。Module._load() を使用すると、ポリシーメカニズムを回避し、特定のモジュールの policy.json の定義外でモジュールを要求できる可能性があります。
    注意: この CVE が発行された時点では、このポリシーメカニズムは Node.js の実験的な機能です。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。この脆弱性を報告してくれた mattaustin 氏に、および修正してくれた Rafael Gonzaga 氏、および Bradley Farias 氏に感謝の意を表します。Buffer (重要度高)(CVE-2023-32004) でパストラバーサルシーケンスを指定することで、アクセス許可モデルがバイパスされる可能性があります。Node.js バージョン 20 で、特に実験的なアクセス許可モデル内に脆弱性が発見されました。この欠陥は、ファイルアクセス許可を検証する際にパストラバーサルをバイパスさせるファイルシステム API におけるバッファの不適切な処理に関連しています。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。
    影響: この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。
    この脆弱性を報告してくれた Axel Chong 氏に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。
    process.binding() が、パストラバーサルを通じてアクセス許可モデルをバイパスする可能性があります (重要度高)(CVE-2023-32558)。廃止予定の API process.binding() を使用すると、パストラバーサルを通じてアクセス許可モデルがバイパスされる可能性があります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。
    影響: この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。
    この脆弱性を報告し修正してくださった Rafael Gonzaga 氏に感謝の意を表します。- module.constructor.createRequire() を使用することで、アクセス許可ポリシーが他のモジュールになりすます可能性があります (重要度中)(CVE-2023-32006)。module.constructor.createRequire() の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。注意: この CVE が発行された時点では、このポリシーメカニズムは Node.js の実験的な機能です。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。この脆弱性を報告してくださった Axel Chong 氏に、および修正してくださった Rafael Gonzaga 氏と Bradley Farias 氏に感謝の意を表します。
    process.binding() を介してアクセス許可ポリシーがバイパスされる可能性があります (重要度中)(CVE-2023-32559)。廃止予定の API process.binding() の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に process.binding('spawn_sync') を利用して、policy.json ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。影響: この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。この脆弱性を報告してくださった LeoDog896 氏、および修正してくれた Tobias Nieen 氏に感謝の意を表します。fs.statfs は、アクセス許可モデルによって制限されているファイルから統計情報を取得する可能性があります (重要度低)(CVE-2023-32005)。Node.js バージョン 20 において、実験的なアクセス許可モデルを使用しているユーザーで、--allow-fs-read flag が non-* 引数とともに使用された場合に影響を受ける脆弱性が特定されました。この欠陥は、fs.statfs API を通じてファイル統計を制限できないという、不十分なアクセス許可モデルに起因しています。その結果、悪意のある攻撃者は、明示的な読み取りアクセス権がないファイルから統計情報を取得できる可能性があります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。影響: この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。この脆弱性を報告し、修正してくださった Rafael Gonzaga 氏に感謝の意を表します。fs.mkdtemp() と fs.mkdtempSync() で getValidatedPath() チェックが欠落しています (重要度低)(CVE-2023-32003)。fs.mkdtemp() と fs.mkdtempSync() は、パストラバーサル攻撃を使用してアクセス許可モデルチェックをバイパスするために使用される可能性があります。この欠陥は、fs.mkdtemp() API にチェックがないことから発生します。その影響として、悪意のある攻撃者が任意のディレクトリを作成する可能性があります。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。影響: この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。この脆弱性を報告してくれた Axel Chong 氏に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。ダウンロードとリリースの詳細: Node.js v16.20.2 (LTS) Node.js v18.17.1 (LTS) Node.js v20.5.1 (Current)(2023 年 8 月 8 日更新) セキュリティリリース予定日 8 月 9 日 Node.js セキュリティリリースは、2023 年 8 月 9 日水曜日、またはそれ以降に利用可能になります。まとめ: Node.js プロジェクトは、以下に対処するために、2023 年 8 月 8 日火曜日かその直後に、16.x、18.x および 20.x リリースラインの新しいバージョンをリリースします。3 つの重要度高の問題。
    2 つの重要度中の問題。2 つの重要度低の問題。OpenSSL セキュリティ更新: このセキュリティリリースには、以下の OpenSSL セキュリティ更新が含まれます。OpenSSL セキュリティアドバイザリ (7 月 14 日)。OpenSSL セキュリティアドバイザリ (7 月 19 日)。OpenSSL セキュリティアドバイザリ (7 月 31 日)。影響: Node.js 20.x リリースラインは、3 つの重要度高の問題、2 つの重要度中の問題、2 つの重要度低の問題に対して脆弱です。Node.js 18.x のリリースラインは、1 つの重要度高の問題と 2 つの重要度中の問題に対して脆弱です。Node.js 16.x のリリースラインは、1 つの重要度高の問題と 2 つの重要度中の問題に対して脆弱です。(CVE-2023-32559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの AlmaLinux 9 ホストに、ALSA-2023:5363 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    * nodejs: アクセス許可ポリシーは、Module._load を介してバイパスされる可能性があります (CVE-2023-32002)
    * nodejs-semver: 正規表現のサービス拒否 (CVE-2022-25883)
    * nodejs: 権限ポリシーが、module.constructor.createRequire() を使用する際に他のモジュールになりすます可能性があります (CVE-2023-32006)
    * nodejs: 権限ポリシーは、process.binding を介してバイパスされる可能性があります (CVE-2023-32559)

Tenable は、前述の記述ブロックを AlmaLinux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 8 ホストに、ELSA-2023-5362 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

  - 7.5.2 より前のパッケージ semver のバージョンは、信頼できないユーザーデータが範囲として提供される場合、新しい範囲の関数を介した正規表現のサービス拒否（ReDoS）に対して脆弱です。(CVE-2022-25883)

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

  - すべてのアクティブなリリースラインの実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。16.x、18.x、20.x。廃止予定の API「process.binding()」の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に「process.binding(「spawn_sync」)」を利用して、「policy.json」ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 8 ホストに、ELSA-2023-5360 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 7.5.2 より前のパッケージ semver のバージョンは、信頼できないユーザーデータが範囲として提供される場合、新しい範囲の関数を介した正規表現のサービス拒否（ReDoS）に対して脆弱です。(CVE-2022-25883)

  - すべてのアクティブなリリースラインの実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。16.x、18.x、20.x。廃止予定の API「process.binding()」の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に「process.binding(「spawn_sync」)」を利用して、「policy.json」ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32559)

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Redhat Enterprise Linux 9 ホストにインストールされているパッケージは、RHSA-2023: 5532 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

  - すべてのアクティブなリリースラインの実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。16.x、18.x、20.x。廃止予定の API「process.binding()」の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に「process.binding(「spawn_sync」)」を利用して、「policy.json」ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Rocky Linux 9 ホストに、RLSA-2023:5532 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

  - 「module.constructor.createRequire()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、および 20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32006)

  - すべてのアクティブなリリースラインの実験的なポリシーメカニズムに、権限昇格の脆弱性が存在します。16.x、18.x、および 20.x。廃止予定の API「process.binding()」の使用により、リモートの攻撃者が、内部モジュールを要求することでポリシーメカニズムをバイパスし、最終的に「process.binding(「spawn_sync」)」を利用して、「policy.json」ファイルで定義された制限外で任意のコードを実行する可能性があります。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32559)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
181892	RHEL 8：nodejs: 16 (RHSA-2023: 5361)	Nessus	Red Hat Local Security Checks	2023/9/26	2024/11/7	critical
181893	RHEL 8：nodejs: 18 (RHSA-2023: 5362)	Nessus	Red Hat Local Security Checks	2023/9/26	2025/3/6	critical
181897	AlmaLinux 8：nodejs:18 (ALSA-2023:5362)	Nessus	Alma Linux Local Security Checks	2023/9/26	2025/1/13	critical
182518	Oracle Linux 9：nodejs: 18 (ELSA-2023-5363)	Nessus	Oracle Linux Local Security Checks	2023/10/4	2024/11/2	critical
195166	GLSA-202405-29：Node.js：多個弱點	Nessus	Gentoo Local Security Checks	2024/5/8	2024/5/8	critical
207274	Debian dla-3886: libnode-dev - セキュリティ更新	Nessus	Debian Local Security Checks	2024/9/14	2024/9/14	high
179823	SUSE SLES12 セキュリティ更新プログラム: nodejs14 (SUSE-SU-2023:3306-1)	Nessus	SuSE Local Security Checks	2023/8/15	2023/8/25	critical
179993	SUSE SLES12セキュリティ更新プログラム：nodejs16 (SUSE-SU-2023:3355-1)	Nessus	SuSE Local Security Checks	2023/8/19	2023/9/26	critical
180113	Amazon Linux 2023 : nodejs、nodejs-devel、nodejs-full-i18n (ALAS2023-2023-304)	Nessus	Amazon Linux Local Security Checks	2023/8/24	2024/12/11	critical
182074	AlmaLinux 9: nodejs:18 (ALSA-2023:5363)	Nessus	Alma Linux Local Security Checks	2023/9/27	2025/1/13	critical
182087	Oracle Linux 8 : nodejs: 18 (ELSA-2023-5362)	Nessus	Oracle Linux Local Security Checks	2023/9/28	2024/11/2	critical
182088	Oracle Linux 8：nodejs: 16 (ELSA-2023-5360)	Nessus	Oracle Linux Local Security Checks	2023/9/28	2024/10/22	critical
182775	RHEL 9 : nodejs (RHSA-2023: 5532)	Nessus	Red Hat Local Security Checks	2023/10/9	2024/11/7	critical
183081	Rocky Linux 9 : nodejs (RLSA-2023:5532)	Nessus	Rocky Linux Local Security Checks	2023/10/14	2023/10/14	critical

检测

插件搜索

critical

critical

critical

critical

critical

high

critical

critical

critical

critical

critical

critical

critical

critical