nodejs-nodemon-2.0.20-3.el9, nodejs-16.19.1-1.el9

エラータID: AXSA:2023-6037:02

リリース日: 
2023/06/15 Thursday - 08:19
題名: 
nodejs-nodemon-2.0.20-3.el9, nodejs-16.19.1-1.el9
影響のあるチャネル: 
MIRACLE LINUX 9 for x86_64
Severity: 
Moderate
Description: 

以下項目について対処しました。

[Security Fix]
- Node.js の http-cache-semantics パッケージには、リモートの
攻撃者により、悪意のあるリクエストヘッダー値の送信を介して、
正規表現のサービス拒否攻撃を可能とする脆弱性が存在します。
(CVE-2022-25881)

- Node.js の c-ares パッケージの ares_set_sortlist 関数には、
入力文字列の妥当性を確認しない問題があるため、リモートの
攻撃者により、細工された文字列の入力を介して、スタック
オーバーフローの発生やサービス拒否攻撃を可能とする脆弱性
が存在します。(CVE-2022-4904)

- Node.js には、試験的な Permissions 機能をバイパスできる問題が
あるため、リモートの攻撃者により、process.mainModule.require()
メソッドの利用を介して、認証されていないモジュールへのアクセスを
可能とする脆弱性が存在します。(CVE-2023-23918)

- Node.js には、信頼できない検索パスの問題があるため、ローカルの
攻撃者により、昇格された権限での実行を介して、ICU データの検索と
ロードを可能とする脆弱性が存在します。(CVE-2023-23920)

- Node.js の undici パッケージには、host HTTP ヘッダーを CRLF
インジェクションから保護していない問題があるため、リモートの攻撃者
により、HTTP リクエスト分割攻撃や HTTP ヘッダーインジェクション
攻撃を可能とする脆弱性が存在します。(CVE-2023-23936)

- Node.js の undici パッケージの headerValueNormalize() 関数には、
値を標準化するための正規表現が効率的でない問題があるため、
リモートの攻撃者により、Headers.set() または Headers.append()
メソッドを巧妙に細工した引数で呼び出すことを介して、正規表現に
よるサービス拒否攻撃を可能とする脆弱性が存在します。
(CVE-2023-24807)

解決策: 

パッケージをアップデートしてください。

CVE: 
CVE-2022-25881
This affects versions of the package http-cache-semantics before 4.1.1. The issue can be exploited via malicious request header values sent to a server, when that server reads the cache policy from the request using this library.
CVE-2022-4904
A flaw was found in the c-ares package. The ares_set_sortlist is missing checks about the validity of the input string, which allows a possible arbitrary length stack overflow. This issue may cause a denial of service or a limited impact on confidentiality and integrity.
CVE-2023-23918
A privilege escalation vulnerability exists in Node.js <19.6.1, <18.14.1, <16.19.1 and <14.21.3 that made it possible to bypass the experimental Permissions (https://nodejs.org/api/permissions.html) feature in Node.js and access non authorized modules by using process.mainModule.require(). This only affects users who had enabled the experimental permissions option with --experimental-policy.
CVE-2023-23920
An untrusted search path vulnerability exists in Node.js. <19.6.1, <18.14.1, <16.19.1, and <14.21.3 that could allow an attacker to search and potentially load ICU data when running with elevated privileges.
CVE-2023-23936
Undici is an HTTP/1.1 client for Node.js. Starting with version 2.0.0 and prior to version 5.19.1, the undici library does not protect `host` HTTP header from CRLF injection vulnerabilities. This issue is patched in Undici v5.19.1. As a workaround, sanitize the `headers.host` string before passing to undici.
CVE-2023-24807
Undici is an HTTP/1.1 client for Node.js. Prior to version 5.19.1, the `Headers.set()` and `Headers.append()` methods are vulnerable to Regular Expression Denial of Service (ReDoS) attacks when untrusted values are passed into the functions. This is due to the inefficient regular expression used to normalize the values in the `headerValueNormalize()` utility function. This vulnerability was patched in v5.19.1. No known workarounds are available.
追加情報: 

N/A

ダウンロード: 

SRPMS
  1. nodejs-nodemon-2.0.20-3.el9.src.rpm
    MD5: 9b557bb7577a562fbd19a4dcf6e129fb
    SHA-256: cff27f650b6895f1756749705b5f624613653b5dfb7e9e8dd7e4f796b677a975
    Size: 395.01 kB
  2. nodejs-16.19.1-1.el9.src.rpm
    MD5: 8090c3633825928c1d2ad345ebddcf14
    SHA-256: b248d767348c1b689f931fbe38f69b206589fe8ceab4d4de4b07be64c1392b06
    Size: 70.80 MB

Asianux Server 9 for x86_64
  1. nodejs-16.19.1-1.el9.x86_64.rpm
    MD5: 6eac242526475ad70ddb224e36d2841c
    SHA-256: 956a850958181badfa016331f1167685e47e255c6546407eec6d55904fb062d6
    Size: 111.78 kB
  2. nodejs-docs-16.19.1-1.el9.noarch.rpm
    MD5: 9b7f3d6f345566b29ba48b97536fbe4f
    SHA-256: cf7757131ffbbc293ea2f97fd3a1c58b22dbabbbc1c09a069be3fa2372c4ddfc
    Size: 7.03 MB
  3. nodejs-full-i18n-16.19.1-1.el9.x86_64.rpm
    MD5: 0a72c9fd9afa2d02327a1682a1d59b57
    SHA-256: 4adb2812a06ef838d606c5c3e48bad22fd72d724a13c8b27737d6a7aee9af888
    Size: 8.22 MB
  4. nodejs-libs-16.19.1-1.el9.i686.rpm
    MD5: 5df4b68eedc245a42d225d95507af0f2
    SHA-256: c06d12eacc2fb7b0c82480014f58929f3c2747d16660f57cd7b058a7afb0ba4a
    Size: 15.10 MB
  5. nodejs-libs-16.19.1-1.el9.x86_64.rpm
    MD5: 4688bb2491cd455b5e3f0488b0c7caa3
    SHA-256: 972a473c97c169db9c6f37ad79b613eaa79a369fb5e57f1b988e36928edd7c12
    Size: 14.47 MB
  6. nodejs-nodemon-2.0.20-3.el9.noarch.rpm
    MD5: 2af62e5523837d3068636c9f4c63ab37
    SHA-256: 06df55828e6d40137bf42dc3d078911782eec5b82c45be24fa0caecf1e17b9eb
    Size: 260.31 kB
  7. npm-8.19.3-1.16.19.1.1.el9.x86_64.rpm
    MD5: 9390ebbd385d98586f8114a44f5f4aba
    SHA-256: 57e282fe1d4d683f5bd4fde80d418817914ed863397ec7759aee2bc32ae9cc27
    Size: 1.73 MB