リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、b9210706-feb0-11ec-81fa-1c697a616631 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - AES-NI アセンブリ最適化実装を使用する 32 ビット x86 プラットフォームの AES OCB モードは、一部の状況でデータ全体を暗号化しません。これにより、書き込まれなかったメモリに既存の 16 バイトのデータが漏洩する可能性があります。インプレース暗号化の特別なケースでは、平文の 16 バイトが漏洩します。OpenSSL は、TLS および DTLS の OCB ベースの暗号化パッケージをサポートしていないため、どちらも影響を受けません。OpenSSL 3.0.5 で修正されました (3.0.0-3.0.4 が影響を受けました)。OpenSSL 1.1.1q で修正されました (1.1.1-1.1.1p が影響を受けます)。(CVE-2022-2097)

  - Node.js バージョン <14.20.0、<16.20.0、<18.5.0 に OS コマンドインジェクションの脆弱性が存在します。これは、IsIPAddress が DBS リクエストを行う前に IP アドレスが無効かどうかを適切にチェックしないため、容易にバイパスできる IsAllowedHost チェックが不十分なためです。これにより、再バインド攻撃が可能になります。(CVE-2022-32212)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1、および <v18.9.1 が Transfer-Encoding ヘッダーを正しく解析および検証せず、HTTP Request Smuggling (HRS) につながる可能性があります。(CVE-2022-32213)

  - Node.js の http モジュールの <v14.20.1、<v16.17.1 および <v18.9.1 パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。
    (CVE-2022-32214)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1 および <v18.9.1 が、複数行の Transfer-Encoding ヘッダーを適切に処理しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。
    (CVE-2022-32215)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2022:2415-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Node.js バージョン <14.20.0、<16.20.0、<18.5.0 に OS コマンドインジェクションの脆弱性が存在します。これは、IsIPAddress が DBS リクエストを行う前に IP アドレスが無効かどうかを適切にチェックしないため、容易にバイパスできる IsAllowedHost チェックが不十分なためです。これにより、再バインド攻撃が可能になります。(CVE-2022-32212)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1、および <v18.9.1 が Transfer-Encoding ヘッダーを正しく解析および検証せず、HTTP Request Smuggling (HRS) につながる可能性があります。(CVE-2022-32213)

  - Node.js の http モジュールの <v14.20.1、<v16.17.1 および <v18.9.1 パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。
    (CVE-2022-32214)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1 および <v18.9.1 が、複数行の Transfer-Encoding ヘッダーを適切に処理しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。
    (CVE-2022-32215)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 9 ホストにインストールされているパッケージは、RHSA-2022: 6595 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - nodejs-glob-parent: 正規表現のサービス拒否 (CVE-2020-28469)

  - nodejs-ini: 悪意のある INI ファイルを介したプロトタイプ汚染 (CVE-2020-7788)

  - nodejs-normalize-url: データ URL の ReDoS (CVE-2021-33502)

  -nodejs-ansi-regex：ANSI エスケープコードに一致する正規表現のサービス拒否 (ReDoS) (CVE-2021-3807)

  - nodejs: npm パックは、ワークスペースで実行される場合、root レベルの .gitignore および .npmignore ファイル除外ディレクティブを無視します (CVE-2022-29244)

  - nodejs: 無効な IP アドレスを介した --inspect での DNS 再バインド (CVE-2022-32212)

  - nodejs: 転送エンコードの解析の不備による HTTP リクエストのスマグリング (CVE-2022-32213)

  - nodejs: ヘッダーフィールドの不適切な区切りによる HTTP リクエストのスマグリング (CVE-2022-32214)

  - nodejs: 複数行の転送エンコードの不正な解析による HTTP リクエストのスマグリング (CVE-2022-32215)

  - nodejs-got: リクエストされた URL の検証がないため、UNIX ソケットへのリダイレクトが可能 (CVE-2022-33987)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている Node.js のバージョンは、14.20.0、16.16.0、18.5.0より前のものです。したがって、2022 年 7 月のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - http モジュールの llhttp パーサーが、Transfer-Encoding ヘッダーを適切に解析し検証しません。これにより、HTTPリクエストスマグリングが引き起こされる可能性があります (HRS) 。詳細については、公開後に CVE-2022-32213で入手できるようになります。この脆弱性を報告してくれた Zeyu Zhang 氏 (@ zeyu2001) に感謝の意を表します。影響:
    (CVE-2022-32213)

  - http モジュールの llhttp パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。
    これにより、HTTPリクエストスマグリングが引き起こされる可能性があります (HRS) 。詳細については、公開後に CVE-2022-32214で入手できるようになります。この脆弱性を報告してくれた Zeyu Zhang 氏 (@ zeyu2001) に感謝の意を表します。影響:
    (CVE-2022-32214)

  - http モジュールの llhttp パーサーが、複数行の Transfer-Encoding ヘッダーを適切に処理しません。これにより、HTTPリクエストスマグリングが引き起こされる可能性があります (HRS) 。詳細については、公開後に CVE-2022-32215で入手できるようになります。この脆弱性を報告してくれた Zeyu Zhang 氏 (@ zeyu2001) に感謝の意を表します。影響:
    (CVE-2022-32215)

  - IsIPAddress は IP アドレスが無効かどうかを適切にチェックしないため、IsAllowedHost チェックは簡単にバイパスできます。無効な IPv4 アドレスが提供されると ( 10.0.2.555が提供されるなど) 、ブラウザ (Firefox など) が DNS サーバーに DNS リクエストを行い、攻撃者が制御する DNS サーバーまたは MITM にベクトルを提供して、DNS 応答を偽装する可能性があります。再バインド攻撃を実行し、WebSocket デバッガに接続することで、任意コード実行が可能になります。これは CVE-2021-22884のバイパスです。詳細については、公開後に CVE-2022-32212で入手できるようになります。この脆弱性を報告してくれた Axel Chong 氏 に感謝の意を表します。影響: (CVE-2022-32212)

  - 被害者が Windows マシンで次の依存関係を持っている場合、この脆弱性が悪用される可能性があります:
    上記の条件が存在する場合、node.exe は現在のユーザーディレクトリで providers.dll を検索します。その後、node.exe は Windows の DLL Search Order で providers.dll を検索しようとします。
    攻撃者が悪意のあるファイル providers.dll をさまざまなパスに配置し、この脆弱性を悪用する可能性があります。詳細については、公開後に CVE-2022-32223で入手できるようになります。この脆弱性を報告してくれた、Aqua Security の Yakir Kadkoda 氏に感謝の意を表します。影響: 注: Node.js は、環境変数 OPENSSL_CONF を指定するか、コマンドラインオプション --openssl-confを使用することで、OpenSSL 構成ファイルを使用できます。これらのいずれも指定されていない場合は、デフォルトでデフォルトの OpenSSL 構成ファイル openssl.cnf が読み取られます。Node.js は、デフォルトで nodejs_conf という名前のセクションのみを読み取ります。インストールがデフォルトの openssl.cnf ファイルを使用しており、この重大な変更の影響を受ける場合は、以下の方法で以前の動作に戻すことができます：(CVE-2022-32223)

  - Node.js が Linux ベースのシステムで起動すると、通常は存在しない /home/iojs/build/ws/out/Release/obj.target/deps/openssl/openssl.cnf を読み取ろうとします。一部の共有システムでは、攻撃者がこのファイルを作成できるため、他のユーザーのデフォルトの OpenSSL 構成に影響を与える可能性があります。この脆弱性を報告してくれた OpenSSF Alpha-Omega プロジェクトの Michael Scovetta 氏に感謝の意を表します。影響: (CVE-2022-32222)

  - AES-NI アセンブリ最適化実装を使用する 32 ビット x86 プラットフォームの AES OCB モードは、一部の状況でデータ全体を暗号化しません。これにより、書き込まれなかったメモリに既存の 16 バイトのデータが漏洩する可能性があります。インプレース暗号化の特別なケースでは、平文の 16 バイトが漏洩します。OpenSSL は、TLS および DTLS の OCB ベースの暗号化パッケージをサポートしていないため、どちらも影響を受けません。影響: (CVE-2022-2097)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートホストにインストールされている IBM Cognos Analytics のバージョンは、11.1.7 Fix Pack 7 より前の 11.1.x または FP1 11.2.4 より前の 11.2.x です。そのため、以下を含む複数の脆弱性による影響を受けます:

  - GNOME libxml2 では、xinclude.c の xmlXIncludeDoProcess() 関数のメモリ解放後使用 (use-after-free) の欠陥が原因で、リモートの攻撃者がシステム上で任意のコードを実行する可能性があります。特別に細工されたファイルを送信することで、攻撃者がこの脆弱性を悪用して、システムで任意のコードを実行する可能性があります。(CVE-2021-3518)

  - Node.js では、providers.dll の DLL 検索順序ハイジャックが原因で、ローカルの攻撃者がシステム上で昇格した権限を取得する可能性があります。攻撃者が特別に細工されたファイルを配置することで、この脆弱性を悪用して権限を昇格する可能性があります。(CVE-2022-32223)

  - Node.js でマークされたモジュールは、inline.reflinkSearch の正規表現のサービス拒否 (ReDoS) の欠陥が原因で発生する、サービス拒否に対して脆弱です。リモートの攻撃者が、特別に細工された正規表現の入力を送信することで、この脆弱性を悪用してサービス拒否状態を引き起こす可能性があります。(CVE-2022-21681)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 10 ホストには、dla-3137 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 16.6.0、14.17.4、および 12.22.4 より前の Node.js はメモリ解放後使用 (Use-After-Free) 攻撃に対して脆弱であり、攻撃者はメモリ破損を悪用し、プロセスの挙動を変更させることが可能な場合があります。(CVE-2021-22930)

  - rejectUnauthorizedパラメーターに対して、Node.js https APIが不適切に使用され、定義されずに、渡される場合、エラーが返されず、有効期限が切れた証明書を使ったサーバーへの接続が受理されていました。（CVE-2021-22939）

  - 16.6.1、14.17.5、および 12.22.5 より前の Node.js はメモリ解放後使用 (Use-After-Free) 攻撃に対して脆弱であり、攻撃者はメモリ破損を悪用し、プロセスの挙動を変更させることが可能な場合があります。(CVE-2021-22940)

  - console.table () 関数のフォーマットロジックにより、ユーザー制御の入力をプロパティパラメーターに渡すことはできませんが、最初のパラメーターとして少なくとも1つのプロパティを持つプレーンオブジェクトを渡すことは安全ではありません。これは __proto__ である可能性があります。プロトタイプ汚染は、オブジェクトプロトタイプの数値キーに割り当てられる空の文字列のみを許可するという点で、コントロールが非常に制限されています。Node.js >= 12.22.9、>= 14.18.3、>= 16.13.2、および >= 17.3.1 はこれらのプロパティが割り当てられている null プロトタイプを使用しています。(CVE-2022-21824)

  - Node.js バージョン <14.20.0、<16.16.0、<18.5.0 に OS コマンドインジェクションの脆弱性が存在します。これは、IsIPAddress が DBS リクエストを行う前に IP アドレスが無効かどうかを適切にチェックしないため、容易にバイパスできる IsAllowedHost チェックが不十分なためです。これにより、再バインド攻撃が可能になります。(CVE-2022-32212)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 35 ホストには、FEDORA-2022-de515f765f のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Node.js バージョン <14.20.0、<16.16.0、<18.5.0 に OS コマンドインジェクションの脆弱性が存在します。これは、IsIPAddress が DBS リクエストを行う前に IP アドレスが無効かどうかを適切にチェックしないため、容易にバイパスできる IsAllowedHost チェックが不十分なためです。これにより、再バインド攻撃が可能になります。(CVE-2022-32212)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1、および <v18.9.1 が Transfer-Encoding ヘッダーを正しく解析および検証せず、HTTP Request Smuggling (HRS) につながる可能性があります。(CVE-2022-32213)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1 および <v18.9.1 が、複数行の Transfer-Encoding ヘッダーを適切に処理しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。
    (CVE-2022-32215)

  - SecretKeyGenTraits の EntropySource() の変更により Node.js 18 に弱いランダム性の WebCrypto keygen 脆弱性が存在します: : DoKeyGen() の EntropySource() を変更することにより、弱いランダム性が生じる脆弱性が存在します。これには 2 つの問題があります。1) 戻り値をチェックしません。EntropySource() が常に成功することを前提としていますが、失敗する可能性があります (時には失敗します)。2) EntropySource() が返すランダムデータは、暗号学的に強力でない可能性があるため、鍵素材として適切ではありません。(CVE-2022-35255)

  - Node v18.7.0 の http モジュールの llhttp パーサーが、CLRF で終了しないヘッダーフィールドを正しく処理しません。これにより、HTTP リクエストスマグリングが発生する可能性があります。(CVE-2022-35256)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの CentOS Linux 9 ホストに、nodejs-16.16.0-1.el9 ビルド変更ログに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  6.14.6より前のバージョンのnpm CLIは、ログファイルを通じた情報漏洩の脆弱性に脆弱です。CLI は、<protocol>://[<user>[:<password>]@]<hostname>[:<port>][:][/]<path> のような URL をサポートしています。パスワードの値は編集されず、stdoutおよび生成されたログファイルに出力されます。（CVE-2020-15095）

  - 16.6.0、14.17.4、および 12.22.4 より前の Node.js は、Node.js dns ライブラリの Domain Name Servers によって返されるホスト名の入力を検証しないため、リモートコード実行、XSS、アプリケーションのクラッシュに脆弱です。その結果、誤ったホスト名 (ドメインハイジャックに至る) を出力し、当該ライブラリを使用するアプリケーションにインジェクションの脆弱性を発生させる可能性があります。(CVE-2021-22931)

  - rejectUnauthorizedパラメーターに対して、Node.js https APIが不適切に使用され、定義されずに、渡される場合、エラーが返されず、有効期限が切れた証明書を使ったサーバーへの接続が受理されていました。(CVE-2021-22939)

  - 16.6.1、14.17.5、および 12.22.5 より前の Node.js はメモリ解放後使用 (Use-After-Free) 攻撃に対して脆弱であり、攻撃者はメモリ破損を悪用し、プロセスの挙動を変更させることが可能な場合があります。(CVE-2021-22940)

  - このパーサーは、コロンの前のヘッダー名の直後にスペース (SP) があるリクエストを受け入れます。これにより、llhttp < v2.1.4 および < v6.0.6 で HTTP リクエストスマグリング (HRS) が引き起こされる可能性があります。(CVE-2021-22959)

  - llhttp < 2.1.4および < 6.0.6の解析関数は、チャンクされたリクエストの本文を解析するときに、チャンク拡張を無視します。このため、特定の状況で HTTP リクエストスマグリング (HRS) が発生します。(CVE-2021-22960)

  -8.0.1で修正された、SSRI 5.2.2-8.0.0は、サービス拒否に対して脆弱である正規表現を使用してSRIを処理します。悪意のあるSRIの処理に非常に長い時間がかかり、サービス拒否が発生する可能性があります。この問題は、厳格なオプションを使用するコンシューマーにのみ影響します。(CVE-2021-27290)

  - ansi-regex は非効率的な正規表現の複雑性に対して脆弱です (CVE-2021-3807)

  - json-schema は、オブジェクトプロトタイプ属性の不適切に制御された変更 (「プロトタイプ汚染」) に対して脆弱です (CVE-2021-3918)

  - package-lock.json の依存関係情報が package.json と異なる場合でも、npm 7.x および 8.x から 8.1.3 の npm ci コマンドはインストールを続行します。この動作はドキュメントと一致しておらず、package-lock.json の正確なバージョン一致要件によってブロックされているはずのマルウェアを攻撃者がインストールしやすくします。注意: npm チームは、これは脆弱性ではないと考えています。これには、だれかが package-lock.json とは異なる依存関係を持つ package.json をソーシャルエンジニアリングする必要があります。そのユーザーは、依存関係を変更するためにファイルシステムまたは書き込みアクセス権を持っている必要があります。
    npm チームによると、悪意のある攻撃者によるソーシャルエンジニアリングやファイルシステムへのアクセスを阻止することは、npm CLI の範囲外です。(CVE-2021-43616)

  - 任意のサブジェクト代替名 (SAN) タイプを受け入れると、PKI が特定の SAN タイプを使用するように明確に定義されていない限り、名前に制約のある中間体がバイパスされる可能性があります。Node.js < 12.22.9, < 14.18.3, < 16.13.2, および < 17.3.1は、URI SAN タイプを受け入れていました。これは、多くの場合、PKI が使用するように定義されていません。
    さらに、プロトコルが URI SAN を許可している場合、Node.js は URI を正しく一致させませんでした。これを修正した Node.js のバージョンは、ホスト名に対して証明書をチェックするときに URI SAN タイプを無効にします。この動作は、--security-revertコマンドラインオプションで元に戻すことができます。(CVE-2021-44531)

  - Node.js < 12.22.9, < 14.18.3, < 16.13.2, および < 17.3.1は、SAN (Subject Alternative Names) を文字列形式に変換します。この文字列を使用して、接続を検証する際にホスト名に対してピア証明書をチェックします。証明書チェーン内で名前の制約が使用されると、文字列形式が注入の脆弱性の影響を受け、これらの名前の制約がバイパスされる可能性があります。これを修正した Node.js のバージョンは、インジェクションを防ぐために、問題がある文字を含む SAN をエスケープします。この動作は、--security-revertコマンドラインオプションで元に戻すことができます。(CVE-2021-44532)

  - Node.js < 12.22.9, < 14.18.3, < 16.13.2, および < 17.3.1が複数値の相対識別名を適切に処理しませんでした。攻撃者は、たとえば、証明書サブジェクトの検証をバイパスできる Common Name を注入するために、複数値の Relative Distinguished Name として解釈される単一値の Relative Distinguished Name を含む証明書サブジェクトを作成する可能性があります。影響を受けるバージョンの Node.js は複数値の Relative Distinguished Name を受け入れないため、そのような攻撃自体に対して脆弱ではありません。ただし、証明書サブジェクトのノードの曖昧な表現を使用するサードパーティコードは、脆弱である可能性があります。(CVE-2021-44533)

  - console.table() 関数のフォーマットロジックにより、ユーザー制御の入力をプロパティパラメーターに渡すことはできませんが、最初のパラメーターとして少なくとも 1 つのプロパティを持つプレーンオブジェクトを渡すことは安全ではありません。これは __proto__ である可能性があります。プロトタイプ汚染は、オブジェクトプロトタイプの数値キーに割り当てられる空の文字列のみを許可するという点で、コントロールが非常に制限されています。Node.js >= 12.22.9、>= 14.18.3、>= 16.13.2、および >= 17.3.1はこれらのプロパティが割り当てられている null プロトタイプを使用しています。(CVE-2022-21824)

  - Node.js バージョン <14.20.0、<16.20.0、<18.5.0 に OS コマンドインジェクションの脆弱性が存在します。これは、IsIPAddress が DBS リクエストを行う前に IP アドレスが無効かどうかを適切にチェックしないため、容易にバイパスできる IsAllowedHost チェックが不十分なためです。これにより、再バインド攻撃が可能になります。(CVE-2022-32212)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1、および <v18.9.1 が Transfer-Encoding ヘッダーを正しく解析および検証せず、HTTP Request Smuggling (HRS) につながる可能性があります。(CVE-2022-32213)

  - Node.js の http モジュールの <v14.20.1、<v16.17.1 および <v18.9.1 パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。
    (CVE-2022-32214)

  - Node.js の http モジュールの llhttp パーサー <v14.20.1、<v16.17.1 および <v18.9.1 が、複数行の Transfer-Encoding ヘッダーを適切に処理しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。
    (CVE-2022-32215)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	Name	Product	Family	Published	Updated	Severity
162898	FreeBSD：Node.js -- 2022 年 7 月 7 日のセキュリティリリース (b9210706-feb0-11ec-81fa-1c697a616631)	Nessus	FreeBSD Local Security Checks	7/8/2022	10/18/2023	high
163357	SUSE SLES12 セキュリティ更新プログラム: nodejs16 (SUSE-SU-2022:2415-1)	Nessus	SuSE Local Security Checks	7/21/2022	7/13/2023	high
165270	RHEL 9 : nodejs および nodejs-nodemon (RHSA-2022: 6595)	Nessus	Red Hat Local Security Checks	9/21/2022	4/28/2024	critical
165634	Node.js 14.x< 14.20.0/ 16.x< 16.16.0/ 18.x< 18.5.0複数の脆弱性 (2022 年 7 月 7 日のセキュリティリリース).	Nessus	Misc.	10/3/2022	1/9/2024	high
175429	IBM Cognos Analytics の複数の脆弱性 (6986505)	Nessus	CGI abuses	5/12/2023	7/27/2023	critical
165709	Debian DLA-3137-1 : nodejs - LTS セキュリティ更新	Nessus	Debian Local Security Checks	10/5/2022	10/10/2023	critical
169179	Fedora 35: 1: nodejs (2022-de515f765f)	Nessus	Fedora Local Security Checks	12/23/2022	9/12/2023	critical
191380	CentOS 9 : nodejs-16.16.0-1.el9	Nessus	CentOS Local Security Checks	2/29/2024	4/26/2024	critical

Detections

Analytics

Plugins Search

high

high

critical

high

critical

critical

critical

critical