Node.js reports : OpenSSL: Client DoS due to large DH parameter This fixes a potential denial of service (DoS) attack against client connections by a malicious server. During a TLS communication handshake, where both client and server agree to use a cipher-suite using DH or DHE (Diffie-Hellman, in both ephemeral and non-ephemeral modes), a malicious server can send a very large prime value to the client. Because this has been unbounded in OpenSSL, the client can be forced to spend an unreasonably long period of time to generate a key, potentially causing a denial of service. OpenSSL: ECDSA key extraction via local side-channel Attackers with access to observe cache-timing may be able to extract DSA or ECDSA private keys by causing the victim to create several signatures and watching responses. This flaw does not have a CVE due to OpenSSL policy to not assign itself CVEs for local-only vulnerabilities that are more academic than practical. This vulnerability was discovered by Keegan Ryan at NCC Group and impacts many cryptographic libraries including OpenSSL. Unintentional exposure of uninitialized memory Only Node.js 10 is impacted by this flaw.

Node.js TSC member Nikita Skovoroda discovered an argument processing flaw that causes Buffer.alloc() to return uninitialized memory. This method is intended to be safe and only return initialized, or cleared, memory. The third argument specifying encoding can be passed as a number, this is misinterpreted by Buffer's internal 'fill' method as the start to a fill operation. This flaw may be abused where Buffer.alloc() arguments are derived from user input to return uncleared memory blocks that may contain sensitive information. Out of bounds (OOB) write Node.js TSC member Nikita Skovoroda discovered an OOB write in Buffer that can be used to write to memory outside of a Buffer's memory space. This can corrupt unrelated Buffer objects or cause the Node.js process to crash.

When used with UCS-2 encoding (recognized by Node.js under the names 'ucs2', 'ucs-2', 'utf16le' and 'utf-16le'), Buffer#write() can be abused to write outside of the bounds of a single Buffer. Writes that start from the second-to-last position of a buffer cause a miscalculation of the maximum length of the input bytes to be written.

The version of Node.js installed on the remote host is 6.x prior to 6.14.4, 8.x prior to 8.11.4 or 10.x prior to 10.9.0. It is, therefore, affected by multiple vulnerabilities.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

An update is now available for Red Hat OpenShift Application Runtimes.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Red Hat Openshift Application Runtimes provides an application platform that reduces the complexity of developing and operating applications (monoliths and microservices) for OpenShift as a containerized platform.

This release of RHOAR Node.js 10.9.0 serves as a replacement for RHOAR Node.js 10.8.0, and includes bug fixes and enhancements. For further information, refer to the Release Notes linked to in the References section.

Security Fix(es) :

* openssl: Malicious server can send large prime to client during DH(E) TLS handshake causing the client to hang (CVE-2018-0732)

* nodejs: Unintentional exposure of uninitialized memory (CVE-2018-7166)

* nodejs: Out of bounds (OOB) write via UCS-2 encoding (CVE-2018-12115)

For more details about the security issue(s), including the impact, a CVSS score, and other related information, refer to the CVE page(s) listed in the References section.

Red Hat OpenShift Application Runtimesの更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat Openshift Application Runtimesは、コンテナ化されたプラットフォームとしてOpenShift用の開発および運用アプリケーション（モノリスとマイクロサービス）の複雑さを軽減するアプリケーションプラットフォームを提供します。このRHOAR Node.js 10.9.0のリリースは、RHOAR Node.js 10.8.0の代替として機能し、バグ修正と拡張機能が含まれています。詳細は、「参照」セクションにリンクされているリリースノートをご覧ください。セキュリティ修正プログラム：* openssl：悪意のあるサーバーが、DH（E）TLSのハンドシェイク中に大きな素数を送信する可能性があります（CVE-2018-0732）* nodejs：初期化されていないメモリの意図しない漏えい（CVE-2018-7166）* nodejs：UCS-2エンコードによる領域外（OOB）書き込み（CVE-2018-12115）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

リモートホストにインストールされているNode.jsのバージョンは、6.14.4より前の6.x、8.11.4より前の8.x、または10.9.0より前の10.xです。したがって、複数の脆弱性の影響を受けます。

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Node.js による報告：OpenSSL:大きなDHパラメーターによるクライアントDoS これにより、悪意のあるサーバーによるクライアント接続に対するサービス拒否（DoS）攻撃の可能性が修正されます。TLS通信ハンドシェイク中に、クライアントとサーバーの両方がDHまたはDHEを使用する暗号スイートを使用することに同意する場合（エフェメラルと非エフェメラルの両方のモードでディフィー・ヘルマン）、悪意のあるサーバーが非常に大きな素数値をクライアントに送信する可能性があります。これはOpenSSLで際限がないため、クライアントがキーを生成するために不当に長い時間を費やすことを強制され、サービス拒否を引き起こす可能性があります。OpenSSL：キャッシュサイドを観察するアクセス権を持つローカルのサイドチャネル攻撃者によるECDSA鍵の抽出により、被害者に複数の署名を作成させ、応答を監視させることで、DSAまたはECDSAの秘密鍵を抽出できる可能性があります。実用的というよりもアカデミックなローカルのみの脆弱性に対して、自身にCVEを割り当てないというOpenSSLポリシーにより、この欠陥にはCVEがありません。この脆弱性は、NCC GroupのKeegan Ryan氏により発見され、OpenSSLを含む多くの暗号化ライブラリに影響を与えます。初期化されていないメモリの意図しない漏洩 Node.js 10のみが、この欠陥の影響を受けます。

Node.js TSCのメンバーであるNikita Skovoroda氏は、Buffer.alloc()が初期化されていないメモリを返す引数処理の欠陥を発見しました。このメソッドは安全で、初期化された、またはクリアされたメモリのみを返すことを目的としています。エンコーディングを指定する3番目の引数は、数値として渡すことができます。これは、バッファの内部「フィル」メソッドによって、フィル操作の開始として誤って解釈されます。この欠陥は、ユーザー入力からBuffer.alloc()引数が派生する場所で悪用される可能性があり、機密情報を含んでいる可能性があるクリアされていないメモリブロックを返します。領域外（OOB）書き込みNode.js TSCメンバーのNikita Skovoroda氏は、バッファのメモリ空間外のメモリへの書き込みに使用できるOOB書き込みをバッファ内で発見しました。これにより、無関係なBufferオブジェクトが破損したり、Node.jsプロセスがクラッシュしたりする可能性があります。

UCS-2エンコーディング（「ucs2」、「ucs-2」、「utf16le」、「utf-16le」の名前でNode.jsによって認識される）で使用されると、Buffer＃write()が悪用されて、単一のバッファの境界外に書き込みます。バッファの最後から2番目の位置から始まる書き込みにより、書き込まれる入力バイトの最大長の計算ミスが発生します。

現已提供適用於 Red Hat OpenShift Application Runtimes 的更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat Openshift Application Runtimes 會提供一個應用程式平台，可將 OpenShift 的開發和操作應用程式 (monoliths 和 microservices) 複雜性降低為容器化平台。本版本 RHOAR Node.js 10.9.0 為 RHOAR Node.js 10.8.0 的取代版本，內含數個錯誤修正和增強功能。如需進一步資訊，請參閱〈參照〉一節連結的版本資訊。安全性修正：* openssl：惡意伺服器可在 DH(E) TLS 交握期間傳送大型 prime 到用戶端，進而導致用戶端懸置 (CVE-2018-0732) * nodejs：意外洩漏未初始化的記憶體 (CVE-2018-7166) * nodejs：透過 UCS-2 編碼發生超出邊界 (OOB) 寫入 (CVE-2018-12115) 如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

有个更新现可用于 Red Hat OpenShift 应用程序运行时。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat Openshift Application Runtimes 会提供一个应用程序平台，可将 OpenShift 的开发和操作应用程序（monoliths 和 microservices）复杂性降低为容器化平台。此 RHOAR Node.js 10.9.0 版本可替换 RHOAR Node.js 10.8.0，内含数个缺陷修复和增强功能。请参阅“参考”部分链接的版本说明以获取更多信息。安全修复：* openssl：在 DH(E) TLS 握手过程中，恶意服务器可向客户端发送大型 prime，导致客户端挂起 (CVE-2018-0732) * nodejs：意外泄露未初始化的内存 (CVE-2018-7166) * nodejs：通过 UCS-2 编码进行越界 (OOB) 写入 (CVE-2018-12115) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

遠端主機上安裝的 Node.js 版本為比 6.14.4 舊的 6.x 版、比 8.11.4 舊的 8.x 版或比 10.9.0 舊的 10.x 版。因此，會受到多個弱點影響。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

远程主机上安装的 Node.js 版本为低于 6.14.4 的 6.x、低于 8.11.4 的 8.x 或低于 10.9.0 的 10.x。因此，该应用程序受到多个漏洞的影响。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

ID	名稱	產品	系列	已發布	已更新	嚴重性
112128	FreeBSD : node.js -- multiple vulnerabilities (0904e81f-a89d-11e8-afbb-bc5ff4f77b71)	Nessus	FreeBSD Local Security Checks	2018/8/28	2018/11/10	high
118937	Node.js Multiple Vulnerabilities (August 2018 Security Releases)	Nessus	Misc.	2018/11/14	2024/1/9	high
119403	RHEL 7 : Red Hat OpenShift Application Runtimes Node.js 10.9.0 (RHSA-2018:2553)	Nessus	Red Hat Local Security Checks	2018/12/4	2020/6/11	high
119403	RHEL 7：Red Hat OpenShift Application Runtimes Node.js 10.9.0（RHSA-2018:2553）	Nessus	Red Hat Local Security Checks	2018/12/4	2020/6/11	high
118937	Node.jsの複数の脆弱性（2018年8月のセキュリティリリース）	Nessus	Misc.	2018/11/14	2024/1/9	high
112128	FreeBSD: node.js -- 複数の脆弱性（0904e81f-a89d-11e8-afbb-bc5ff4f77b71）	Nessus	FreeBSD Local Security Checks	2018/8/28	2018/11/10	high
119403	RHEL 7：Red Hat OpenShift Application Runtimes Node.js 10.9.0 (RHSA-2018:2553)	Nessus	Red Hat Local Security Checks	2018/12/4	2020/6/11	high
119403	RHEL 7：Red Hat OpenShift Application Runtimes Node.js 10.9.0 (RHSA-2018:2553)	Nessus	Red Hat Local Security Checks	2018/12/4	2020/6/11	high
118937	Node.js 多個弱點 (2018 年 8 月安全性發佈)	Nessus	Misc.	2018/11/14	2024/1/9	high
118937	Node.js 多个漏洞（2018 年 8 月安全版本）	Nessus	Misc.	2018/11/14	2024/1/9	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high