nodejs-nodemon-2.0.19-1.el9, nodejs-16.16.0-1.el9

以下項目について対処しました。

[Security Fix]
- node.js の glob-parent パッケージには、文字列がパスセパレータを含む
エンクロージャーで終了するかをチェックする正規表現 enclosure に問題
があり、攻撃者が悪意のある文字列を提供することで、正規表現による
サービス拒否状態に陥る脆弱性があります。(CVE-2020-28469)

- nodejs には、攻撃者が悪意のある INI ファイルを ini.parse を使って解析
するアプリケーションに発行すると、アプリケーションのプロトタイプが
汚染される脆弱性があります。(CVE-2020-7788)

- node.js の normalize-url パッケージには、"data:" スキーマの URL に
対して指数関数的に時間が掛かる問題があり、正規表現によりサービス
拒否に陥る脆弱性があります。(CVE-2021-33502)

- node.js の ansi-regex 機能には、ansi-regex を使用したアプリケー
ションが巧妙に細工された ANSI のエスケープコードをマッチングする
際に過剰な CPU 時間を使用する問題があり、正規表現によるサービス
拒否を引き起こす脆弱性があります。(CVE-2021-3807)

- npm には、--workspaces オプションもしくは --workspace オプション
を指定して実行した際にルートレベルのディレクトリにある .gitignore
および .npmignore ファイルに設定した公開対象外ファイルの指定を無視
する問題があるため、ワークスペース内での npm pack コマンドもしく
は npm publish コマンドの実行を介して、npm レジストリに意図しない
ファイルが公開される脆弱性が存在します。(CVE-2022-29244)

- nodejs の IsAllowedHost 関数には IP アドレスが無効化かどうかを
正しく検証しない問題があるため、リモートの攻撃者による DNS
リバインド攻撃を可能とする脆弱性が存在します。(CVE-2022-32212)

- nodejs の http モジュールの llhttp パーサーには、Transfer-Encoding
ヘッダーを正しく解析しない問題があるため、リモートの攻撃者による
HTTP リクエストスマグリング攻撃を可能とする脆弱性が存在します。
(CVE-2022-32213)

- nodejs の http モジュールの llhttp パーサーには、HTTP リクエスト内の
改行コード (CR/LF) を適切に解析していない問題があるため、リモート
の攻撃者により、巧妙に細工された HTTP リクエストを介して、HTTP
リクエストスマグリング攻撃を可能とする脆弱性が存在します。
(CVE-2022-32214)

- nodejs の http モジュールの llhttp パーサーには、複数行の
Transfer-Encoding ヘッダーを正しく処理しない問題があるため、
リモートの攻撃者により、巧妙に細工された HTTP リクエストを
介して、HTTP リクエストスマグリング攻撃を可能とする脆弱性が
存在します。(CVE-2022-32215)

- nodejs の got パッケージには、リクエストされた URL を検証しない
問題があるため、UNIX ソケットへのリダイレクト攻撃を可能とする
脆弱性が存在します。(CVE-2022-33987)