This update for nodejs4 and nodejs6 fixes the following issues :

Security issues fixed :

  - CVE-2017-1000381: The c-ares function     ares_parse_naptr_reply() could be triggered to read     memory outside of the given input buffer if the passed     in DNS response packet was crafted in a particular way.
    (bsc#1044946)

  - CVE-2017-11499: Disable V8 snapshots. The hashseed     embedded in the snapshot is currently the same for all     runs of the binary. This opens node up to collision     attacks which could result in a Denial of Service. We     have temporarily disabled snapshots until a more robust     solution is found. (bsc#1048299)

Non-security fixes :

  - GCC 7 compilation fixes for v8 backported and add     missing ICU59 headers (bsc#1041282)

  - New upstream LTS release 6.11.1

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.11.1

  - New upstream LTS release 6.11.0

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.11.0

  - New upstream LTS release 6.10.3

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.3

  - New upstream LTS release 6.10.2

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.2

  - New upstream LTS release 6.10.1

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.1

  - New upstream LTS release 6.10.0

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.0

  - New upstream LTS release 4.8.4

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.4

  - New upstream LTS release 4.8.3

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.3

  - New upstream LTS release 4.8.2

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.2

  - New upstream LTS release 4.8.1

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.1

  - New upstream LTS release 4.8.0

  - https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.0

This update was imported from the SUSE:SLE-12:Update update project.

このnodejs4とnodejs6の更新プログラムでは、次の問題が修正されます：

キャッシュサイドチャネル攻撃の軽減：

  - CVE-2017-1000381: c-ares関数ares_parse_naptr_reply()は、特別な方法で細工されたDNS応答パケットで渡される場合、指定された入力バッファの外部にあるメモリの読み取りが引き起こされる可能性があります。
    （bsc#1044946）

  - CVE-2017-11499: V8スナップショットを無効にします。スナップショットに埋め込まれたハッシュシードは、現在バイナリのすべての実行で同一です。これによりノードが衝突攻撃にさらされ、サービス拒否が引き起こされる可能性があります。より堅牢な解決策が見つかるまで、スナップショットを一時的に無効にしています。（bsc#1048299）

非セキュリティ修正：

  -v8に対するGCC 7コンパイルの修正がバックポートされ、欠落しているICU59ヘッダーが追加されました（ bsc#1041282）

  - 新しいUpstream LTSリリース6.11.1

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.11.1

  - 新しいUpstream LTSリリース6.11.0

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.11.0

  - 新しいUpstream LTSリリース6.10.3

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.3

  - 新しいUpstream LTSリリース6.10.2

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.2

  - 新しいUpstream LTSリリース6.10.1

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.1

  - 新しいUpstream LTSリリース6.10.0

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6.10.0

  - 新しいUpstream LTSリリース4.8.4

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.4

  - 新しいUpstream LTSリリース4.8.3

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.3

  - 新しいUpstream LTSリリース4.8.2

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.2

  - 新しいUpstream LTSリリース4.8.1

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.1

  - 新しいUpstream LTSリリース4.8.0

  -https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4.8.0

この更新はSUSEからインポートされました：SLE-12: 更新プロジェクトを更新します。

This update for nodejs4 and nodejs6 fixes the following issues:
Security issues fixed :

  - CVE-2017-1000381: The c-ares function     ares_parse_naptr_reply() could be triggered to read     memory outside of the given input buffer if the passed     in DNS response packet was crafted in a particular way.
    (bsc#1044946)

  - CVE-2017-11499: Disable V8 snapshots. The hashseed     embedded in the snapshot is currently the same for all     runs of the binary. This opens node up to collision     attacks which could result in a Denial of Service. We     have temporarily disabled snapshots until a more robust     solution is found. (bsc#1048299) Non-security fixes :

  - GCC 7 compilation fixes for v8 backported and add     missing ICU59 headers (bsc#1041282)

  - New upstream LTS release 6.11.1     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V6.md#6 .11.1

  - New upstream LTS release 6.11.0     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V6.md#6 .11.0

  - New upstream LTS release 6.10.3     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V6.md#6 .10.3

  - New upstream LTS release 6.10.2     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V6.md#6 .10.2

  - New upstream LTS release 6.10.1     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V6.md#6 .10.1

  - New upstream LTS release 6.10.0     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V6.md#6 .10.0

  - New upstream LTS release 4.8.4     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V4.md#4 .8.4

  - New upstream LTS release 4.8.3     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V4.md#4 .8.3

  - New upstream LTS release 4.8.2     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V4.md#4 .8.2

  - New upstream LTS release 4.8.1     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V4.md#4 .8.1

  - New upstream LTS release 4.8.0     https://github.com/nodejs/node/blob/master/doc/changelog     s/CHANGELOG_V4.md#4 .8.0

Note that Tenable Network Security has extracted the preceding description block directly from the SUSE security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

このnodejs4用およびnodejs6用の更新プログラムでは、次の問題が修正されています：
修正されたセキュリティ問題：

  - CVE-2017-1000381：c-ares関数ares_parse_naptr_reply()は、特別な方法で細工されたDNS応答パケットで渡される場合、指定された入力バッファの外部にあるメモリの読み取りが引き起こされる可能性があります。
    （bsc#1044946）

  - CVE-2017-11499：V8スナップショットを無効にします。スナップショットに埋め込まれたハッシュシードは、現在バイナリのすべての実行で同一です。これによりノードが衝突攻撃にさらされ、サービス拒否が引き起こされる可能性があります。より堅牢なソリューションが見つかるまで、スナップショットを一時的に無効にしています。（bsc#1048299）非セキュリティ修正：

  - v8に対するGCC 7コンパイルの修正がバックポートされ、欠落しているICU59ヘッダーが追加されました（ bsc#1041282）

  - 新しいUpstream LTSリリース6.11.1 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6 .11.1

  - 新しいUpstream LTSリリース6.11.0 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6 .11.0

  - 新しいUpstream LTSリリース6.10.3 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6 .10.3

  - 新しいUpstream LTSリリース6.10.2 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6 .10.2

  - 新しいUpstream LTSリリース6.10.1 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6 .10.1

  - 新しいUpstream LTSリリース6.10.0 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V6.md#6 .10.0

  - 新しいUpstream LTSリリース4.8.4 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4 .8.4

  - 新しいUpstream LTSリリース4.8.3 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4 .8.3

  - 新しいUpstream LTSリリース4.8.2 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4 .8.2

  - 新しいUpstream LTSリリース4.8.1 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4 .8.1

  - 新しいUpstream LTSリリース4.8.0 https://github.com/nodejs/node/blob/master/doc/changelogs/CHANGELOG_V4.md#4 .8.0

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

远程 Redhat Enterprise Linux 6/7 主机上安装的多个程序包受到 RHSA-2017:3002 公告中提及的一个漏洞影响。

  - nodejs：常量哈希表种子漏洞 (CVE-2017-11499)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 6 / 7 主机上安装的程序包受到 RHSA-2017:2908 公告中提及的多个漏洞影响。

    Node.js 是个软件开发平台，可使用 JavaScript 编程语言构建快速且可扩展的网络应用程序。

    下列程序包已升级到更高的上游版本：rh-nodejs6-nodejs（6.11.3）。
    (BZ#1476317)

    安全修复：

    * 已发现 Node.js 在填充哈希表时使用非随机种子。能够提供大量输入的攻击者可向 Node.js 应用程序发送特别构建的条目，从而充分利用哈希冲突触发过量 CPU 使用，从而导致拒绝服务。
    (CVE-2017-11499)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Redhat Enterprise Linux 6 / 7 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2017:3002 advisory.

    Node.js is a platform built on Chrome's JavaScript runtime for easily building fast, scalable network     applications. Node.js uses an event-driven, non-blocking I/O model that makes it lightweight and     efficient, perfect for data-intensive real-time applications that run across distributed devices.

    The following packages have been upgraded to a later upstream version: rh-nodejs4-nodejs (4.8.4).
    (BZ#1476314)

    Security Fix(es):

    * It was found that Node.js was using a non-randomized seed when populating hash tables. An attacker, able     to supply a large number of inputs, could send specially crafted entries to the Node.js application,     maximizing hash collisions to trigger an excessive amount of CPU usage, resulting in a denial of service.
    (CVE-2017-11499)

    Bug Fix(es):

    * The /opt/rh/rh-nodejs4/root/usr/share/licenses/ directory was not owned by any package. Consequently,     when the rh-nodejs4 collection was uninstalled, the directory was not removed. This bug has been fixed,     and the aforementioned directory is correctly removed after uninstalling rh-nodejs4. (BZ#1316626)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 6 / 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2017:2908 advisory.

    Node.js is a software development platform for building fast and scalable network applications in the     JavaScript programming language.

    The following packages have been upgraded to a later upstream version: rh-nodejs6-nodejs (6.11.3).
    (BZ#1476317)

    Security Fix(es):

    * It was found that Node.js was using a non-randomized seed when populating hash tables. An attacker, able     to supply a large number of inputs, could send specially crafted entries to the Node.js application,     maximizing hash collisions to trigger an excessive amount of CPU usage, resulting in a denial of service.
    (CVE-2017-11499)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2017:3002 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - nodejs: Constant Hashtable Seeds の脆弱性 (CVE-2017-11499)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 6 / 7 ホストに、RHSA-2017:2908 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Node.js は、高速でスケーラブルなネットワークアプリケーションを JavaScript プログラミング言語でビルドするためのソフトウェア開発プラットフォームです。

    rh-nodejs6-nodejsのパッケージが新しいアップストリームバージョンにアップグレードされました（6.11.3）。
    (BZ#1476317)

    セキュリティ修正プログラム:

    * ハッシュテーブルにデータを入力するとき、Node.jsがランダム化されていないシードを使用していることがわかりました。多数の入力を提供できる攻撃者が、特別に細工されたエントリを Node.js アプリケーションに送信し、ハッシュ衝突を最大化して過剰な CPU 使用率をトリガーし、サービス拒否を引き起こす可能性があります。
    (CVE-2017-11499)

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Redhat Enterprise Linux 6/7 主機上安裝的套件受到 RHSA-2017:2908 公告中提及的多個弱點影響。

    Node.js 是一個軟體開發平台，可使用 JavaScript 程式設計語言建置快速且可擴充的網路應用程式。

    下列套件已升級至更新的上游版本：rh-nodejs6-nodejs (6.11.3)。
    (BZ#1476317)

    安全性修正：

    * 據發現，Node.js 在填入雜湊表時會使用非隨機化種子。能夠提供大量輸入的攻擊者可傳送特製項目至 Node.js 應用程式，最大化雜湊衝突以觸發過量 CPU 使用，進而導致拒絕服務。
    (CVE-2017-11499)

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 6 / 7 主機上安裝的套件受到 RHSA-2017:3002 公告中提及的弱點影響。

  - nodejs：固定雜湊表種子值弱點 (CVE-2017-11499)

請注意，Nessus 並未測試此問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
102564	openSUSE Security Update : nodejs4 / nodejs6 (openSUSE-2017-948)	Nessus	SuSE Local Security Checks	2017/8/18	2021/1/19	high
102564	openSUSEセキュリティ更新プログラム：nodejs4 / nodejs6 (openSUSE-2017-948)	Nessus	SuSE Local Security Checks	2017/8/18	2021/1/19	high
120002	SUSE SLES12 Security Update : nodejs4, nodejs6 (SUSE-SU-2017:2168-1)	Nessus	SuSE Local Security Checks	2019/1/2	2024/7/11	high
120002	SUSE SLES12セキュリティ更新プログラム：nodejs4, nodejs6 (SUSE-SU-2017:2168-1)	Nessus	SuSE Local Security Checks	2019/1/2	2024/7/11	high
194073	RHEL 6 / 7 : rh-nodejs4-nodejs (RHSA-2017:3002)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	high
234432	RHEL 6 / 7：rh-nodejs6-nodejs (RHSA-2017:2908)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high
194073	RHEL 6 / 7 : rh-nodejs4-nodejs (RHSA-2017:3002)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	high
234432	RHEL 6 / 7 : rh-nodejs6-nodejs (RHSA-2017:2908)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high
194073	RHEL 6 / 7 : rh-nodejs4-nodejs (RHSA-2017:3002)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	high
234432	RHEL 6 / 7 : rh-nodejs6-nodejs (RHSA-2017:2908)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high
234432	RHEL 6 / 7：rh-nodejs6-nodejs (RHSA-2017:2908)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high
194073	RHEL 6 / 7：rh-nodejs4-nodejs (RHSA-2017:3002)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high