This update brings the new upstream nodejs LTS version 4.6.0, fixing bugs and security issues :

  - Nodejs embedded openssl version update

  + upgrade to 1.0.2j (CVE-2016-6304, CVE-2016-2183,     CVE-2016-2178, CVE-2016-6306, CVE-2016-7052)

  + remove support for dynamic 3rd party engine modules

- http: Properly validate for allowable characters in input user data.
This introduces a new case where throw may occur when configuring HTTP responses, users should already be adopting try/catch here.
  (CVE-2016-5325, bsc#985201)

  - tls: properly validate wildcard certificates     (CVE-2016-7099, bsc#1001652)

  - buffer: Zero-fill excess bytes in new Buffer objects     created with Buffer.concat()

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote host is affected by the vulnerability described in GLSA-201612-43 (Node.js: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Node.js. Please review       the CVE identifiers referenced below for details.
  Impact :

    A remote attacker could possibly cause a Denial of Service condition, or       conduct man-in-the-middle attacks.
  Workaround :

    There is no known workaround at this time.

An update for nodejs-tough-cookie and nodejs is now available for Red Hat OpenShift Container Platform 3.1, 3.2, and 3.3.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Red Hat OpenShift Container Platform is the company's cloud computing Platform-as-a-Service (PaaS) solution designed for on-premise or private cloud deployments.

Security Fix(es) :

* A regular expression denial of service flaw was found in Tough-Cookie. An attacker able to make an application using Touch-Cookie to parse a sufficiently large HTTP request Cookie header could cause the application to consume an excessive amount of CPU.
(CVE-2016-1000232)

* It was found that the reason argument in ServerResponse#writeHead() was not properly validated. A remote attacker could possibly use this flaw to conduct an HTTP response splitting attack via a specially crafted HTTP request. (CVE-2016-5325)

This advisory contains the RPM packages for this release. See the following advisory for the container images fixes for this release :

https://access.redhat.com/errata/RHBA-2016:2100

This update brings the new upstream nodejs LTS version 4.6.0, fixing bugs and security issues :

  - Nodejs embedded openssl version update

  + upgrade to 1.0.2j (CVE-2016-6304, CVE-2016-2183,     CVE-2016-2178, CVE-2016-6306, CVE-2016-7052)

  + remove support for dynamic 3rd party engine modules

- http: Properly validate for allowable characters in input user data. This introduces a new case where throw may occur when configuring HTTP responses, users should already be adopting try/catch here.
  (CVE-2016-5325, bsc#985201)

  - tls: properly validate wildcard certificates     (CVE-2016-7099, bsc#1001652)

  - buffer: Zero-fill excess bytes in new Buffer objects     created with Buffer.concat()

この更新により、新しいアップストリームnodejsLTSバージョン4.6.0が導入され、バグとセキュリティの問題を修正します：

  - Nodejs埋め込みopensslバージョンの更新

  + 1.0.2jにアップグレードします（CVE-2016-6304、CVE-2016-2183、CVE-2016-2178、CVE-2016-6306、CVE-2016-7052）

  + 動的サードパーティエンジンモジュールのサポートを削除します

- http：入力ユーザーデータの許容文字を適切に検証します。
これにより、HTTP応答の構成時にスローが発生する可能性がある新しいケースが導入されます。ユーザーはすでにここでtry/catchを導入している必要があります。
  （CVE-2016-5325、bsc#985201）

  - tls：ワイルドカード証明書が適切に検証されます（CVE-2016-7099、bsc#1001652）

  - buffer：Buffer.concat()により作成される新しいBufferオブジェクトで超過バイトがゼロフィルされます

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201612-43（Node.js：複数の脆弱性）で説明されている脆弱性による影響を受けます。Node.jsで、複数の脆弱性が見つかりました。詳細については、以下に記載されているCVE識別番号を参照してください。影響：リモートの攻撃者が、サービス拒否状態を引き起こしたり、中間者攻撃を行う可能性があります。回避策：現時点では、既知の回避策はありません。

この更新により、新しいアップストリームnodejsLTSバージョン4.6.0が導入され、バグとセキュリティの問題が修正されます：

  - Nodejs埋め込みopensslバージョンの更新

  + 1.0.2jにアップグレードします（CVE-2016-6304、CVE-2016-2183、CVE-2016-2178、CVE-2016-6306、CVE-2016-7052）

  + 動的サードパーティエンジンモジュールのサポートを削除します

- http：入力ユーザーデータの許容文字を適切に検証します。これにより、HTTP応答の構成時にスローが発生する可能性がある新しいケースが導入されます。ユーザーはすでにここでtry/catchを導入している必要があります。
  （CVE-2016-5325、bsc#985201）

  - tls：ワイルドカード証明書が適切に検証されます（CVE-2016-7099、bsc#1001652）

  - buffer：Buffer.concat()により作成される新しいBufferオブジェクトで超過バイトがゼロフィルされます

現已提供適用於 Red Hat OpenShift Container Platform 3.1、3.2 和 3.3 的 nodejs-tough-cookie 和 nodejs 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat OpenShift Container Platform 是該公司的雲端運算平台即服務 (PaaS) 解決方案，專門針對內部部署或私有雲端部署而設計。安全性修正：* 在 Tough-Cookie 中發現一個規則運算式拒絕服務缺陷。能夠讓使用 Touch-Cookie 的應用程式剖析大量 HTTP 要求 Cookie 標頭的攻擊者，可造成應用程式消耗過量 CPU。(CVE-2016-1000232) * 據發現，ServerResponse#writeHead() 中的 reason 引數未經過正確驗證。遠端攻擊者可利用此缺陷，透過特製的 HTTP 要求進行 HTTP 回應。(CVE-2016-5325) 此公告含有該版本的 RPM 套件。請參閱此版本之容器影像修正的下列公告：https://access.redhat.com/errata/RHBA-2016:2100

nodejs-tough-cookieの更新が、Red Hat OpenShift Container Platform 3.1、3.2、3.3で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。セキュリティ修正プログラム：* 正規表現によるサービス拒否の欠陥がTough-Cookieに見つかりました。Touch-Cookieを使用するアプリケーションに十分に大きいHTTPリクエストのCookieヘッダーを解析させることのできる攻撃者が、アプリケーションに過剰な量のCPUを消費させる可能性があります。（CVE-2016-1000232）* ServerResponse#writeHead()のreason引数が正しく検証されていないことがわかりました。リモートの攻撃者が、この欠陥を悪用し、特別に細工されたHTTPリクエストを使用して、HTTP応答分割攻撃を仕掛ける可能性があります。（CVE-2016-5325）このアドバイザリには、このリリースのRPMパッケージが含まれています。このリリースのコンテナイメージの修正については、次のアドバイザリを参照してください：https://access.redhat.com/errata/RHBA-2016:2100

遠端主機受到 GLSA-201612-43 中所述的弱點影響 (Node.js：多個弱點) 在 Node.js 中發現多個弱點。如需詳細資訊，請檢閱以下提及的 CVE 識別碼。影響：遠端攻擊者可能造成拒絕服務情形或發動攔截式攻擊。因應措施：目前尚無已知的因應措施。

现已提供 Red Hat OpenShift Container Platform 3.1、3.2 和 3.3 的 nodejs-tough-cookie 和 nodejs 更新。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat OpenShift Container Platform 是该公司的云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。安全修复：* 在 Tough-Cookie 中发现正则表达式拒绝服务缺陷。能够让使用 Touch-Cookie 的应用程序分析大量 HTTP 请求 Cookie 标头的攻击者，可造成应用程序消耗过量 CPU。(CVE-2016-1000232) * 发现 ServerResponse#writeHead() 中的 reason 参数未经过正确验证。远程攻击者可能利用此缺陷通过特别构建的 HTTP 请求执行 HTTP 响应拆分攻击。(CVE-2016-5325) 此公告含有该版本的 RPM 程序包。请参阅此版本之容器图像修复的下列公告：https://access.redhat.com/errata/RHBA-2016:2100

远程主机受到 GLSA-201612-43 中所述漏洞的影响（Node.js：多个漏洞）在 Node.js 中发现多个漏洞。请检查下面引用的 CVE 标识符以了解详细信息。影响：远程攻击者可能造成拒绝服务情况或执行中间人攻击。解决方法：目前无任何已知的解决方法。

ID	名稱	產品	系列	已發布	已更新	嚴重性
119982	SUSE SLES12 Security Update : nodejs4 (SUSE-SU-2016:2470-1)	Nessus	SuSE Local Security Checks	2019/1/2	2022/1/27	high
95817	GLSA-201612-43 : Node.js: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2016/12/14	2021/1/11	high
119383	RHEL 7 : nodejs and nodejs-tough-cookie (RHSA-2016:2101)	Nessus	Red Hat Local Security Checks	2018/12/4	2022/2/1	medium
94002	openSUSE Security Update : nodejs (openSUSE-2016-1172)	Nessus	SuSE Local Security Checks	2016/10/12	2021/1/19	high
119982	SUSE SLES12セキュリティ更新プログラム：nodejs4 (SUSE-SU-2016:2470-1)	Nessus	SuSE Local Security Checks	2019/1/2	2022/1/27	high
95817	GLSA-201612-43：Node.js：複数の脆弱性	Nessus	Gentoo Local Security Checks	2016/12/14	2021/1/11	high
94002	openSUSEセキュリティ更新プログラム：nodejs（openSUSE-2016-1172）	Nessus	SuSE Local Security Checks	2016/10/12	2021/1/19	high
119383	RHEL 7：nodejs and nodejs-tough-cookie (RHSA-2016:2101)	Nessus	Red Hat Local Security Checks	2018/12/4	2022/2/1	medium
119383	RHEL 7：nodejs and nodejs-tough-cookie（RHSA-2016:2101）	Nessus	Red Hat Local Security Checks	2018/12/4	2022/2/1	medium
95817	GLSA-201612-43：Node.js：多個弱點	Nessus	Gentoo Local Security Checks	2016/12/14	2021/1/11	high
119383	RHEL 7 : nodejs and nodejs-tough-cookie (RHSA-2016:2101)	Nessus	Red Hat Local Security Checks	2018/12/4	2022/2/1	medium
95817	GLSA-201612-43：Node.js：多个漏洞	Nessus	Gentoo Local Security Checks	2016/12/14	2021/1/11	high

偵測

搜尋 Plugin

high

high

medium

high

high

high

high

medium

medium

high

medium

high