Node.js reports : Denial of Service Vulnerability in HTTP/2 (CVE-2018-7161) All versions of 8.x and later are vulnerable and the severity is HIGH. An attacker can cause a denial of service (DoS) by causing a node server providing an http2 server to crash. This can be accomplished by interacting with the http2 server in a manner that triggers a cleanup bug where objects are used in native code after they are no longer available. This has been addressed by updating the http2 implementation. Thanks to Jordan Zebor at F5 Networks for reporting this issue. Denial of Service, nghttp2 dependency (CVE-2018-1000168) All versions of 9.x and later are vulnerable and the severity is HIGH. Under certain conditions, a malicious client can trigger an uninitialized read (and a subsequent segfault) by sending a malformed ALTSVC frame. This has been addressed through an by updating nghttp2. Denial of Service Vulnerability in TLS (CVE-2018-7162) All versions of 9.x and later are vulnerable and the severity is HIGH. An attacker can cause a denial of service (DoS) by causing a node process which provides an http server supporting TLS server to crash. This can be accomplished by sending duplicate/unexpected messages during the handshake. This vulnerability has been addressed by updating the TLS implementation. Thanks to Jordan Zebor at F5 Networks all of his help investigating this issue with the Node.js team. Memory exhaustion DoS on v9.x (CVE-2018-7164) Versions 9.7.0 and later are vulnerable and the severity is MEDIUM. A bug introduced in 9.7.0 increases the memory consumed when reading from the network into JavaScript using the net.Socket object directly as a stream. An attacker could use this cause a denial of service by sending tiny chunks of data in short succession. This vulnerability was restored by reverting to the prior behaviour. Calls to Buffer.fill() and/or Buffer.alloc() may hang (CVE-2018-7167) Calling Buffer.fill() or Buffer.alloc() with some parameters can lead to a hang which could result in a Denial of Service. In order to address this vulnerability, the implementations of Buffer.alloc() and Buffer.fill() were updated so that they zero fill instead of hanging in these cases.

Node.js による報告：HTTP/2でのサービス拒否の脆弱性（CVE-2018-7161）8.x以降のすべてのバージョンは脆弱であり、重要度は「高」です。攻撃者が、http2サーバーを提供するノードサーバーをクラッシュさせることで、サービス拒否（DoS）を引き起こす可能性があります。これは、オブジェクトが使用できなくなった後にネイティブコードで使用されるクリーンアップのバグを発生させる方法で、http2サーバーとやり取りすることで実現できます。これは、http2実装を更新することで対処されています。この問題を報告してくれたF5 NetworksのJordan Zebor氏に感謝の意を表します。サービス拒否、nghttp2の依存関係（CVE-2018-1000168）9.x以降のすべてのバージョンは脆弱であり、重要度は「高」です。特定の状況で、悪意のあるクライアントが、無効な形式のALTSVCフレームを送信することで、初期化されていない読み取り（およびその後のセグメンテーション違反）を引き起こす可能性があります。これは、nghttp2を更新することで対処されています。TLSのサービス拒否の脆弱性（CVE-2018-7162）9.x以降のすべてのバージョンは脆弱であり、重要度は「高」です。攻撃者が、TLSサーバーをサポートするhttpサーバーを提供するノードプロセスをクラッシュさせることで、サービス拒否（DoS）を引き起こす可能性があります。これは、ハンドシェイク中に重複/予期しないメッセージを送信することで実現できます。この脆弱性は、TLS実装を更新することで対処されています。F5 NetworksのJordan Zebor氏に感謝の意を表します。Node.jsチームとのこの問題の調査に協力してくれました。v9.x（CVE-2018-7164）バージョン9.7.0以降のメモリ枯渇DoSは脆弱であり、重要度は「中」です。9.7.0で導入されたバグにより、ネットワークからnet.Socketオブジェクトをストリームとして直接使用するJavaScriptに読み込むときに消費されるメモリが増加します。攻撃者がこれを利用して、小さなチャンクのデータを連続して送信することで、サービス拒否を引き起こす可能性があります。この脆弱性は、以前の動作に戻すことで復元されました。Buffer.fill()および/またはBuffer.alloc()の呼び出しがハングアップする可能性があります（CVE-2018-7167）一部のパラメーターでBuffer.fill()またはBuffer.alloc()を呼び出すと、ハングアップが発生し、サービス拒否を引き起こす可能性があります。この脆弱性に対処するために、Buffer.alloc()とBuffer.fill()の実装が更新され、これらの場合にハングするのではなくゼロ充填するようになりました。

セキュリティ修正の更新

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

遠端主機上安裝的 Node.js 版本是比 6.14.3 舊的 6.x 版、比 8.11.3 舊的 8.x 版、比 9.11.2 舊的 9.x 版或比 10.4.1 舊的 10.x 版。因此，會受到多個弱點影響。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

遠端主機受到 GLSA-202003-48 中所述的弱點影響 (Node.js：多個弱點)

    在 Node.js 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可能編寫任意檔案，造成拒絕服務情形或進行 HTTP 要求分割攻擊。
  因應措施：

    目前尚無已知的因應措施。

远程主机上安装的 Node.js 版本为低于 6.14.3 的 6.x、低于 8.11.3 的 8.x、低于 9.11.2 的 9.x 或低于 10.4.1 的 10.x。因此，该应用程序受到多个漏洞的影响。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

远程主机受到 GLSA-202003-48 中所述漏洞的影响（Node.js：多个漏洞）

    已在 Node.js 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可能编写任意文件，造成拒绝服务情况或展开 HTTP 请求拆分攻击。
  变通方案：

    目前无任何已知的变通方案。

The version of Node.js installed on the remote host is 6.x prior to 6.14.3, 8.x prior to 8.11.3, 9.x prior to 9.11.2 or 10.x prior to 10.4.1. It is, therefore, affected by multiple vulnerabilities.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Update for security fixes

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote host is affected by the vulnerability described in GLSA-202003-48 (Node.js: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Node.js. Please review       the CVE identifiers referenced below for details.
  Impact :

    A remote attacker could possibly write arbitrary files, cause a Denial       of Service condition or can conduct HTTP request splitting attacks.
  Workaround :

    There is no known workaround at this time.

リモートホストにインストールされているNode.jsのバージョンは、6.14.3より前の6.x、8.11.3より前の8.x、9.11.2より前の9.x、または10.4.1より前の10.xです。したがって、複数の脆弱性の影響を受けます。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
110539	FreeBSD : node.js -- multiple vulnerabilities (45b8e2eb-7056-11e8-8fab-63ca6e0e13a2)	Nessus	FreeBSD Local Security Checks	2018/6/15	2018/11/10	high
110539	FreeBSD: node.js -- 複数の脆弱性（45b8e2eb-7056-11e8-8fab-63ca6e0e13a2）	Nessus	FreeBSD Local Security Checks	2018/6/15	2018/11/10	high
110822	Fedora 27：1：nodejs（2018-79841c871e）	Nessus	Fedora Local Security Checks	2018/7/2	2021/1/6	high
118957	Node.js 多個弱點 (2018 年 7 月安全性發佈)。	Nessus	Misc.	2018/11/14	2024/1/9	high
134776	GLSA-202003-48：Node.js：多個弱點	Nessus	Gentoo Local Security Checks	2020/3/23	2024/3/21	critical
118957	Node.js 多个漏洞（2018 年 7 月安全版本）。	Nessus	Misc.	2018/11/14	2024/1/9	high
134776	GLSA-202003-48：Node.js：多个漏洞	Nessus	Gentoo Local Security Checks	2020/3/23	2024/3/21	critical
118957	Node.js multiple vulnerabilities (July 2018 Security Releases).	Nessus	Misc.	2018/11/14	2024/1/9	high
120914	Fedora 28 : 1:nodejs (2018-f59d961d7b)	Nessus	Fedora Local Security Checks	2019/1/3	2021/1/6	high
134776	GLSA-202003-48 : Node.js: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2020/3/23	2024/3/21	critical
110822	Fedora 27 : 1:nodejs (2018-79841c871e)	Nessus	Fedora Local Security Checks	2018/7/2	2021/1/6	high
118957	Node.jsの複数の脆弱性（2018年7月のセキュリティリリース）	Nessus	Misc.	2018/11/14	2024/1/9	high
120914	Fedora 28：1: nodejs（2018-f59d961d7b）	Nessus	Fedora Local Security Checks	2019/1/3	2021/1/6	high

偵測

搜尋 Plugin

high

high

high

high

critical

high

critical

high

high

critical

high

high

high