https://nodejs.org/en/blog/release/v4.6.0/

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

https://nodejs.org/en/blog/release/v4.6.0/

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

远程 Ubuntu 16.04 ESM / 18.04 ESM 主机上安装的多个程序包受到 USN-4796-1 公告中提及的多个漏洞影响。

  - 0.10.47 之前的 Node.js 0.10.x、0.12.16 之前的 0.12.x、4.6.0 之前的 4.x 和 6.7.0 之前的 6.x 中 tls.checkServerIdentity 函数未正确处理 X.509 证书名称字段中的通配符，这使得中间人攻击者可以通过精心设计的证书来欺骗服务器。(CVE-2016-7099)

  - 如果传入的 DNS 响应数据包是以特定方式构建，可触发用于解析 NAPTR 响应的 c-ares 函数 `ares_parse_naptr_reply()`，以读取给定输入缓冲区之外的内存。(CVE-2017-1000381)

  - 在 6.14.4、 8.11.4 和 10.9.0 之前的所有 Node.js 版本中，当与 UCS-2 编码一起使用时（由 Node.js 识别为以下名称：`'ucs2'`、`'ucs-2'`、`'utf16le'` 和 `'utf-16le'`），`Buffer#write()` 可能被滥用，导致在单个 `Buffer` 的边界之外写入。写入从缓冲区倒数第二个位置开始，会导致错误计算要写入的输入字节的最大长度。(CVE-2018-12115)

  - Node.js: Node.js 6.15.0 和 8.14.0 之前的所有版本：HTTP 请求拆分：如果可以诱使 Node.js 将未审查的用户提供的 Unicode 数据用于 HTTP 请求的 `path` 选项，则可以提供数据，这将触发向相同服务器发出的第二个意外、由用户定义的 HTTP 请求。(CVE-2018-12116)

  - Node.js: Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：Slowloris HTTP 拒绝服务：攻击者可以通过非常缓慢地发送标头来长时间保持 HTTP 或 HTTPS 连接及相关资源处于活动状态，从而导致拒绝服务 (DoS)。(CVE-2018-12122)

  - Node.js: Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：URL 解析器中用于 javascript 协议的主机名伪造：如果 Node.js 应用程序使用 url.parse() 来确定 URL 主机名，则可以使用大小写混合的 javascript 协议来欺骗该主机名：（例如 javAscript：，其他协议不受影响）。如果根据主机名对 URL 做出安全决策，则它们可能不正确。(CVE-2018-12123)

  - Node.js 检查器 6.x 和更高版本容易遭受 DNS 重新绑定攻击，攻击者可利用此漏洞发起远程代码执行。攻击可能来自在 Web 浏览器中打开的恶意网站，而浏览器可能安装在同一台电脑上，或是安装在能够通过网络访问运行 Node.js 进程的其他电脑上。恶意网站可使用 DNS 重新绑定攻击来诱骗 Web 浏览器绕过同源策略检查，并允许实现指向 localhost 或本地网络上主机的 HTTP 连接。如果启用错误调试端口的 Node.js 进程在 localhost 或位于本地网络的主机上运行，则恶意网站可连接此进程并将其充作调试程序，并获得完整的代码执行权限。(CVE-2018-7160)

  - 使用带某些参数的调用 Buffer.fill() 或 Buffer.alloc() 可能会导致挂起，从而造成拒绝服务。为了解决此漏洞，已更新 Buffer.alloc() 和 Buffer.fill() 的实现，以便它们在这些情况下的内存填充为 0 而不是挂起。Node.js 6.x (LTS Boron)、8.x (LTS Carbon) 和 9.x 的所有版本均容易受到攻击。Node.js 10.x（当前版本）的所有版本均不易受到攻击。(CVE-2018-7167)

  - 在 Node.js（包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x）中，攻击者可以通过在保持活动状态中建立 HTTP 或 HTTPS 连接并非常缓慢地发送标头来导致拒绝服务 (DoS)。这可使连接及其关联资源长时间保持活动状态。使用负载均衡器或其他代理层可缓解潜在攻击。
    此漏洞是 CVE-2018-12121 的扩展，已在 11 月得到解决，此漏洞会影响所有活跃的 Node.js 发行版本，包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x。(CVE-2019-5737)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端 Ubuntu 16.04 ESM / 18.04 ESM 主機上安裝的多個套件受到 USN-4796-1 公告中提及的多個弱點影響。

  - 在 Node.js 0.10.47 之前的 0.10.x、0.12.16 之前的 0.12.x、4.6.0 之前的 4.x 以及 6.7.0 之前的 6.x 中，tls.checkServerIdentity 函式未正確處理 X.509 憑證名稱欄位中的萬用字元，其允許攔截式攻擊者透過特製的憑證偽造伺服器。(CVE-2016-7099)

  - 如果傳入特製的 DNS 回應封包，會觸發用於剖析 NAPTR 回應的 c-ares 函式「ares_parse_naptr_reply()」，讀取給定輸入緩衝區之外的記憶體。(CVE-2017-1000381)

  - 在 6.14.4、8.11.4 和 10.9.0 之前的所有 Node.js 版本中，搭配 UCS-2 編碼 (Node.js 以名稱 `'ucs2'`、`'ucs-2'`、`'utf16le'` 和 `'utf-16le'` 識別) 使用時，`Buffer#write()` 可遭濫用而寫入單一 `Buffer` 的邊界之外。如從緩衝區的倒數第二個位置開始寫入，則會造成要寫入的輸入位元組的最大長度計算錯誤。(CVE-2018-12115)

  - Node.js: Node.js 6.15.0 和 8.14.0 之前的所有版本：HTTP 要求分割：如果可以誘騙 Node.js 針對 HTTP 要求的 `path` 選項使用未清理的使用者提供的 Unicode  資料，則可提供的資料將觸發向相同伺服器發出的第二個非預期的使用者定義 HTTP 要求。(CVE-2018-12116)

  - Node.js: Node.js 6.15.0 之前的所有版本、8.14.0、10.14.0 和 11.3.0：Slowloris HTTP 拒絕服務：攻擊者可透過非常緩慢地傳送標頭，使 HTTP 或 HTTPS 連線及相關資源長時間處於作用中狀態，進而造成拒絕服務 (DoS)。(CVE-2018-12122)

  - Node.js: Node.js 6.15.0 之前的所有版本、8.14.0、10.14.0 和 11.3.0：URL 剖析器中用於 javascript 通訊協定的主機名稱偽造：如果 Node.js 應用程式使用 url.parse() 來判斷 URL 主機名稱，則可使用混合大小寫的 javascript 通訊協定來欺騙該主機名稱：(例如 javAscript: ，其他通訊協定不受影響) 。如果根據主機名稱做出有關 URL 的安全性決策，則這些決策可能不正確。(CVE-2018-12123)

  - Node.js 檢查器 6.x 和更高版本容易遭受 DNS 重新綁定攻擊，攻擊者可利用此弱點發動遠端程式碼執行。攻擊者可在同部電腦，或是對執行 Node.js 處理程序之電腦具有網路存取權的另一部電腦上，使用網頁瀏覽器開啟惡意網站來發動攻擊。惡意網站可利用 DNS 重新繫結攻擊來誘騙網頁瀏覽器繞過同源原則檢查，並允許 HTTP 連線至 localhost 或本機網路上的主機。若在 localhost 或本機網路主機上，執行具有效除錯連接埠的 Node.js 處理程序，則惡意網站可能會連線至該處理程序做為除錯程式，並取得完整的程式碼執行存取權。(CVE-2018-7160)

  - 以某些參數呼叫 Buffer.fill() 或 Buffer.alloc() 可導致懸置，進而導致拒絕服務。為解決此弱點，已更新 Buffer.alloc() 和 Buffer.fill() 的實作，以便它們在這些情況下以零填入，而非懸置。Node.js 6.x (LTS Boron)、8.x (LTS Carbon) 和 9.x 的所有版本都容易受到影響。Node.js 10.x (最新版本) 的所有版本都不易受到影響。(CVE-2018-7167)

  - 在 Node.js 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 以及 11.10.1 之前的 11.x 中，攻擊者可透過在持續連線模式下非常緩慢地傳送標頭，建立 HTTP 或 HTTPS 連線，藉此造成拒絕服務 (DoS)。這可讓連線和相關聯的資源長時間保持運作。使用負載平衡器或其他 proxy 層可減輕攻擊發生的可能性。
    此弱點是 CVE-2018-12121 的延伸模組，已在 11 月得以解決，該弱點會影響所有有效的 Node.js 版本，包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1之前的 11.x。(CVE-2019-5737)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 6/7 主機上安裝的套件受到 RHSA-2017:0002 公告中提及的多個弱點影響。

    Node.js 是一種構建在 Chrome 之 JavaScript 執行階段上的平台，適用於輕易地構建快速、可擴充的網路應用程式。Node.js 使用一個以事件為導向的非封鎖 I/O 模型，使其更為輕量及更有效率、適用於跨分散式裝置的資料密集型即時應用程式。

    下列套件已升級至更新的上游版本：rh-nodejs4-nodejs (4.6.2)、rh-nodejs4-http-parser (2.7.0)。(BZ#1388097)

    安全性修正：

    * 據發現，Node.js 的 tls.checkServerIdentity() 函式並未正確驗證含有萬用字元的伺服器憑證。惡意 TLS 伺服器可利用此缺陷，取得 Node.js TLS 用戶端所接受的特製憑證。(CVE-2016-7099)

    * 據發現，配置新記憶體時，V8 Zone 類別容易發生整數溢位 (Zone::New() 和 Zone::NewExpand())。能夠操控大型區域的攻擊者可使應用程式損毀，或可能以應用程式權限執行任意程式碼。(CVE-2016-1669)

    * 在 Node.js 隨附的 DNS 解析器程式庫 c-ares 中發現一個弱點。具有逸出結尾點的主機名稱有大小計算不正確的情形，進而導致單一位元組在堆積上的寫入位置超過緩衝區末端。能夠將此種主機名稱提供給使用 c-ares 的應用程式的攻擊者可能會使該應用程式損毀。(CVE-2016-5180)

    * 據發現，ServerResponse#writeHead() 中的 reason 引數未經過正確驗證。遠端攻擊者可能會利用此缺陷，透過特製的 HTTP 要求，發動 HTTP 回應分割攻擊。(CVE-2016-5325)

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2017:0002 公告中提及的多个漏洞影响。

    Node.js 是一个构建在 Chrome 的 JavaScript 运行时基础上的平台，用于轻松构建快速、可扩展的网络应用程序。Node.js 使用事件驱动的非阻断 I/O 模型，这使其轻便而高效，非常适合于在分散的设备上运行的数据密集型实时应用程序。

    下列程序包已升级至更新的上游版本：rh-nodejs4-nodejs (4.6.2)、rh-nodejs4-http-parser (2.7.0)。(BZ#1388097)

    安全修复：

    * 已发现 Node.js 的 tls.checkServerIdentity() 函数未能正确验证含有通配符的服务器证书。恶意 TLS 服务器可以利用此缺陷来获取可由 Node.js TLS 客户端接受的特制证书。(CVE-2016-7099)

    * 已发现当分配新的内存（Zone::New() 和 Zone::NewExpand()）时，V8 Zone 类容易受到整数溢出影响。有能力操控大型区域的攻击者可造成应用程序崩溃，或可能以应用程序权限执行任意代码。(CVE-2016-1669)

    * 在 Node.js 随附的 DNS 解析器库 c-ares 中发现一个漏洞。具有转义末尾点的主机名称会不正确计算其大小，进而导致单一字节在堆上的写入位置超过缓冲区末端。能够向使用 c-ares 的应用程序提供此类主机名的攻击者可能导致该应用程序崩溃。(CVE-2016-5180)

    * 发现 ServerResponse#writeHead() 中的 reason 参数未经过正确验证。远程攻击者可能利用此缺陷通过特制的 HTTP 请求执行 HTTP 响应拆分攻击。(CVE-2016-5325)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Redhat Enterprise Linux 6 / 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2017:0002 advisory.

    Node.js is a platform built on Chrome's JavaScript runtime for easily building fast, scalable network     applications. Node.js uses an event-driven, non-blocking I/O model that makes it lightweight and     efficient, perfect for data-intensive real-time applications that run across distributed devices.

    The following packages have been upgraded to a newer upstream version: rh-nodejs4-nodejs (4.6.2), rh-     nodejs4-http-parser (2.7.0). (BZ#1388097)

    Security Fix(es):

    * It was found that Node.js' tls.checkServerIdentity() function did not properly validate server     certificates containing wildcards. A malicious TLS server could use this flaw to get a specially crafted     certificate accepted by a Node.js TLS client. (CVE-2016-7099)

    * It was found that the V8 Zone class was vulnerable to integer overflow when allocating new memory     (Zone::New() and Zone::NewExpand()). An attacker with the ability to manipulate a large zone could crash     the application or, potentially, execute arbitrary code with the application privileges. (CVE-2016-1669)

    * A vulnerability was found in c-ares, a DNS resolver library bundled with Node.js. A hostname with an     escaped trailing dot would have its size calculated incorrectly, leading to a single byte written beyond     the end of a buffer on the heap. An attacker able to provide such a hostname to an application using     c-ares, could potentially cause that application to crash. (CVE-2016-5180)

    * It was found that the reason argument in ServerResponse#writeHead() was not properly validated. A remote     attacker could possibly use this flaw to conduct an HTTP response splitting attack via a specially-crafted     HTTP request. (CVE-2016-5325)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

This update brings the new upstream nodejs LTS version 4.6.0, fixing bugs and security issues :

  - Nodejs embedded openssl version update

  + upgrade to 1.0.2j (CVE-2016-6304, CVE-2016-2183,     CVE-2016-2178, CVE-2016-6306, CVE-2016-7052)

  + remove support for dynamic 3rd party engine modules

- http: Properly validate for allowable characters in input user data.
This introduces a new case where throw may occur when configuring HTTP responses, users should already be adopting try/catch here.
  (CVE-2016-5325, bsc#985201)

  - tls: properly validate wildcard certificates     (CVE-2016-7099, bsc#1001652)

  - buffer: Zero-fill excess bytes in new Buffer objects     created with Buffer.concat()

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2017:0002 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Node.js は、高速でスケーラブルなネットワークアプリケーションを簡単に構築するための、Chrome の JavaScript Runtime に構築されるプラットフォームです。Node.js は、軽量化と効率化、そして分配されたデバイス間で実行するデータを激しく消耗するリアルタイムアプリケーションへの最適化を実現する、イベント駆動型の非ブロック I/O モデルを使用します。

    次のパッケージが新しいアップストリームバージョンにアップグレードされました: rh-nodejs4-nodejs (4.6.2)、rh-nodejs4-http-parser (2.7.0)。(BZ#1388097)

    セキュリティ修正プログラム: 

    * Node.js の tls.checkServerIdentity() 関数がワイルドカードを含むサーバー証明書を適切に検証していないことが判明しました。悪意のある TLS サーバーは、この欠陥を利用して、Node.js TLS クライアントによって受け入れられる特別に細工された証明書を取得する可能性があります。(CVE-2016-7099)

    * V8 ゾーンクラスは、新しいメモリを割り当てる際の整数オーバーフローに対して脆弱であることが判明しました (Zone::New() および Zone::NewExpand())。大規模なゾーンを操作する能力を持つ攻撃者は、アプリケーションをクラッシュさせたり、アプリケーション権限を使用して任意のコードを実行したりする可能性があります。(CVE-2016-1669)

    * 脆弱性が、Node.js にバンドルされている DNS リゾルバーライブラリである c-ares で見つかりました。エスケープされた末尾のドットを持つホスト名では、サイズが正しく計算されず、ヒープ上のバッファの終端を超えて単一バイトが書き込まれます。攻撃者が c-ares を使用してアプリケーションにそのようなホスト名を提供できる場合は、そのアプリケーションを強制終了する可能性があります。(CVE-2016-5180)

    * ServerResponse#writeHead()のreason引数が正しく検証されていないことがわかりました。リモートの攻撃者が、この欠陥を悪用し、特別に細工された HTTP リクエストを使用して、HTTP 応答分割攻撃を仕掛ける可能性があります。(CVE-2016-5325)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

この更新により、新しいアップストリームnodejsLTSバージョン4.6.0が導入され、バグとセキュリティの問題を修正します：

  - Nodejs埋め込みopensslバージョンの更新

  + 1.0.2jにアップグレードします（CVE-2016-6304、CVE-2016-2183、CVE-2016-2178、CVE-2016-6306、CVE-2016-7052）

  + 動的サードパーティエンジンモジュールのサポートを削除します

- http：入力ユーザーデータの許容文字を適切に検証します。
これにより、HTTP応答の構成時にスローが発生する可能性がある新しいケースが導入されます。ユーザーはすでにここでtry/catchを導入している必要があります。
  （CVE-2016-5325、bsc#985201）

  - tls：ワイルドカード証明書が適切に検証されます（CVE-2016-7099、bsc#1001652）

  - buffer：Buffer.concat()により作成される新しいBufferオブジェクトで超過バイトがゼロフィルされます

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

https://nodejs.org/en/blog/release/v6.7.0/

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Ubuntu 16.04 ESM / 18.04 ESM host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4796-1 advisory.

    Alexander Minozhenko and James Bunton discovered that Node.js did not properly handle wildcards in name     fields of X.509 TLS certificates. An attacker could use this vulnerability to execute a machine-in-the-     middle- attack. This issue only affected Ubuntu 14.04 ESM and 16.04 ESM. (CVE-2016-7099)

    It was discovered that Node.js incorrectly handled certain NAPTR responses. A remote attacker could     possibly use this issue to cause applications using Node.js to crash, resulting in a denial of service.
    This issue only affected Ubuntu 16.04 ESM. (CVE-2017-1000381)

    Nikita Skovoroda discovered that Node.js mishandled certain input, leading to an out of bounds write. An     attacker could use this vulnerability to cause a denial of service (crash) or possibly execute arbitrary     code. This issue only affected Ubuntu 18.04 ESM. (CVE-2018-12115)

    Arkadiy Tetelman discovered that Node.js improperly handled certain malformed HTTP requests. An attacker     could use this vulnerability to inject unexpected HTTP requests. This issue only affected Ubuntu 18.04     ESM. (CVE-2018-12116)

    Jan Maybach discovered that Node.js did not time out if incomplete HTTP/HTTPS headers were received. An     attacker could use this vulnerability to cause a denial of service by keeping HTTP/HTTPS connections alive     for a long period of time. This issue only affected Ubuntu 18.04 ESM. (CVE-2018-12122)

    Martin Bajanik discovered that the url.parse() method would return incorrect results if it received     specially crafted input. An attacker could use this vulnerability to spoof the hostname and bypass     hostname-specific security controls. This issue only affected Ubuntu 18.04 ESM. (CVE-2018-12123)

    It was discovered that Node.js is vulnerable to a DNS rebinding attack which could be exploited to perform     remote code execution. An attack is possible from malicious websites open in a web browser with network     access to the system running the Node.js process. This issue only affected Ubuntu 18.04 ESM.
    (CVE-2018-7160)

    It was discovered that the Buffer.fill() and Buffer.alloc() methods improperly handled certain inputs. An     attacker could use this vulnerability to cause a denial of service. This issue only affected Ubuntu 18.04     ESM. (CVE-2018-7167)

    Marco Pracucci discovered that Node.js mishandled HTTP and HTTPS connections. An attacker could use this     vulnerability to cause a denial of service. This issue only affected Ubuntu 18.04 ESM. (CVE-2019-5737)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

This update brings the new upstream nodejs LTS version 4.6.0, fixing bugs and security issues :

  - Nodejs embedded openssl version update

  + upgrade to 1.0.2j (CVE-2016-6304, CVE-2016-2183,     CVE-2016-2178, CVE-2016-6306, CVE-2016-7052)

  + remove support for dynamic 3rd party engine modules

- http: Properly validate for allowable characters in input user data. This introduces a new case where throw may occur when configuring HTTP responses, users should already be adopting try/catch here.
  (CVE-2016-5325, bsc#985201)

  - tls: properly validate wildcard certificates     (CVE-2016-7099, bsc#1001652)

  - buffer: Zero-fill excess bytes in new Buffer objects     created with Buffer.concat()

https://nodejs.org/en/blog/release/v6.7.0/

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Ubuntu 16.04 ESM / 18.04 ESM ホストには、USN-4796-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 0.10.47 より前の Node.js 0.10.x、0.12.16 より前の 0.12.x、4.6.0 より前の 4.x、6.7.0 より前の 6.x  の tls.checkServerIdentity 関数は、X.509 証明書の名前フィールドでワイルドカードを適切に処理しないため、中間者攻撃者が細工された証明書を通じてサーバーを偽装する可能性があります。(CVE-2016-7099)

  - NAPTR応答の解析に使用されるc-ares関数ares_parse_naptr_reply()は、特別な方法で細工されたDNS応答パケットで渡される場合、指定された入力バッファの外部にあるメモリの読み取りが引き起こされる可能性があります。(CVE-2017-1000381)

  - 6.14.4、8.11.4、10.9.0 より前の Node.js のすべてのバージョンでは、UCS-2 エンコーディング (Node.js により [ucs2]、[ucs-2]、[utf16le] および [utf-16le] の名前で認識されるエンコーディング) で使用されると、[Buffer#write()] が悪用され、単一 [バッファ] の境界外で書き込みが行われる可能性があります。バッファの最後から 2 番目の位置から始まる書き込みにより、書き込まれる入力バイトの最大長の計算エラーが発生します。(CVE-2018-12115)

  - Node.js: Node.js 6.15.0、8.14.0 より前の全バージョン: HTTP リクエストの分割: HTTP リクエストの [パス] オプションに対して、サニタイズされていないユーザー提供の Unicode データを使用するように Node.js を誘導できる場合、データが提供される可能性があります。このデータ提供により、同じサーバーに対して 2 番目の予期しないユーザー定義の HTTP リクエストが引き起こされます。(CVE-2018-12116)

  - Node.js: Node.js 6.15.0、8.14.0、10.14.0、11.3.0 より前の全バージョン: Slowloris HTTP のサービス拒否: 攻撃者は、ヘッダーを非常にゆっくりと送信することで、HTTP または HTTPS の接続と関連するリソースを長期間維持することで、サービス拒否 (DoS) を引き起こす可能性があります。(CVE-2018-12122)

  - Node.js: Node.js 6.15.0、8.14.0、10.14.0、11.3.0 より前の全バージョン: javascript プロトコルの URL パーサーにおけるホスト名のなりすまし: Node.js アプリケーションが URL ホスト名を判断するために url.parse() を使用している場合、そのホスト名は大文字と小文字が混在する javascript: (例: javAscript: ) プロトコル (他のプロトコルは影響を受けない) を使用して、なりすましが行なわれる可能性があります。ホスト名に基づいて URL に関するセキュリティの決定が行われた場合、その決定は正しくない可能性があります。(CVE-2018-12123)

  - 6.x 以降のNode.js インスペクターは、リモートコードの実行を実行するために悪用される可能性があるDNS再バインド攻撃に脆弱です。同じコンピューター上のWebブラウザ、またはNode.jsプロセスを実行しているコンピューターへのネットワークアクセスがある別のコンピューターで開いている悪意のあるWebサイトから、攻撃が可能です。悪意のあるWebサイトがDNS再バインド攻撃を利用して、Webブラウザを騙して同一生成元ポリシーチェックをバイパスし、ローカルホストまたはローカルネットワーク上のホストへのHTTP接続を許可する可能性があります。デバッグポートがアクティブなNode.jsプロセスがローカルホストまたはローカルネットワーク上のホストで実行されている場合、悪意のあるWebサイトがデバッガとして接続し、完全なコード実行アクセス権を取得する可能性があります。(CVE-2018-7160)

  - 一部のパラメーターで Buffer.fill() または Buffer.alloc() を呼び出すと、ハングアップが発生し、サービス拒否が発生する可能性があります。この脆弱性に対処するために、Buffer.alloc() および Buffer.fill() の実装が更新され、このような場合にもハングせずゼロフィルになるようになりました。Node.js 6.x (LTS Boron)、8.x (LTS Carbon)、9.x のすべてのバージョンが脆弱です。Node.js 10.x (最新版) のすべてのバージョンに脆弱性はありません。(CVE-2018-7167)

  - 6.17.0より前の 6.x、8.15.1 より前の 8.x、10.15.2 より前の 10.x、11.10.1 より前の 11.x を含む Node.js では、攻撃者が HTTP または HTTPS 接続をキープアライブモードで確立し、ヘッダーの送信を大幅に遅らせることによって、サービス拒否 (DoS) を引き起こす可能性があります。これにより、接続と関連するリソースが長期間有効のままにされます。ロードバランサーまたは他のプロキシレイヤーを使用することで、攻撃の可能性が緩和されます。
    この脆弱性は、CVE-2018-12121 の拡張であり、11 月に対処され、6.x より前の 6.17.0、8.x より前の  8.15.1、10.x より前の 10.15.2、11.x より前の 11.10.1 を含むすべてのすべてのアクティブな Node.js リリースラインに影響を与えます。 (CVE-2019-5737)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存しています。

この更新により、新しいアップストリームnodejsLTSバージョン4.6.0が導入され、バグとセキュリティの問題が修正されます：

  - Nodejs埋め込みopensslバージョンの更新

  + 1.0.2jにアップグレードします（CVE-2016-6304、CVE-2016-2183、CVE-2016-2178、CVE-2016-6306、CVE-2016-7052）

  + 動的サードパーティエンジンモジュールのサポートを削除します

- http：入力ユーザーデータの許容文字を適切に検証します。これにより、HTTP応答の構成時にスローが発生する可能性がある新しいケースが導入されます。ユーザーはすでにここでtry/catchを導入している必要があります。
  （CVE-2016-5325、bsc#985201）

  - tls：ワイルドカード証明書が適切に検証されます（CVE-2016-7099、bsc#1001652）

  - buffer：Buffer.concat()により作成される新しいBufferオブジェクトで超過バイトがゼロフィルされます

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
93977	Fedora 24 : 1:nodejs (2016-861b8c46b7)	Nessus	Fedora Local Security Checks	2016/10/12	2021/1/11	medium
93977	Fedora 24：1: nodejs（2016-861b8c46b7）	Nessus	Fedora Local Security Checks	2016/10/12	2021/1/11	medium
183156	Ubuntu 16.04 ESM / 18.04 ESM：Node.js 漏洞 (USN-4796-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2025/9/3	high
183156	Ubuntu 16.04 ESM / 18.04 ESM：Node.js 弱點 (USN-4796-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2025/9/3	high
210197	RHEL 6 / 7：rh-nodejs4-nodejs and rh-nodejs4-http-parser (RHSA-2017:0002)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/5	critical
210197	RHEL 6/7：rh-nodejs4-nodejs 和 rh-nodejs4-http-parser (RHSA-2017:0002)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/5	critical
210197	RHEL 6 / 7 : rh-nodejs4-nodejs and rh-nodejs4-http-parser (RHSA-2017:0002)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/5	critical
119982	SUSE SLES12 Security Update : nodejs4 (SUSE-SU-2016:2470-1)	Nessus	SuSE Local Security Checks	2019/1/2	2022/1/27	high
210197	RHEL 6 / 7 : rh-nodejs4-nodejs and rh-nodejs4-http-parser (RHSA-2017:0002)	Nessus	Red Hat Local Security Checks	2024/11/4	2024/11/5	critical
119982	SUSE SLES12セキュリティ更新プログラム：nodejs4 (SUSE-SU-2016:2470-1)	Nessus	SuSE Local Security Checks	2019/1/2	2022/1/27	high
94798	Fedora 25 : 1:nodejs (2016-43ff70c6b1)	Nessus	Fedora Local Security Checks	2016/11/15	2021/1/11	medium
183156	Ubuntu 16.04 ESM / 18.04 ESM : Node.js vulnerabilities (USN-4796-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2025/9/3	high
94002	openSUSE Security Update : nodejs (openSUSE-2016-1172)	Nessus	SuSE Local Security Checks	2016/10/12	2021/1/19	high
94798	Fedora 25：1: nodejs（2016-43ff70c6b1）	Nessus	Fedora Local Security Checks	2016/11/15	2021/1/11	medium
183156	Ubuntu 16.04 ESM / 18.04 ESM : Node.js 脆弱性 (USN-4796-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2025/9/3	high
94002	openSUSEセキュリティ更新プログラム：nodejs（openSUSE-2016-1172）	Nessus	SuSE Local Security Checks	2016/10/12	2021/1/19	high

检测

插件搜索

medium

medium

high

high

critical

critical

critical

high

critical

high

medium

high

high

medium

high

high