Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Node.js 4.x
Betroffene Plattformen:
Red Hat Software Collections 1 RHEL 6
Red Hat Software Collections 1 RHEL 7
Mehrere Schwachstellen in Node.js ermöglichen einem entfernten, nicht
authentifizierten Angreifer die Durchführung von
Denial-of-Service-Angriffen, das Umgehen von Sicherheitsmechanismen und die
Ausführung beliebigen Programmcodes.
Red Hat stellt die Pakete ‘rh-nodejs4-nodejs’ in Version 4.6.2 und
‘rh-nodejs4-http-parser’ in Version 2.7.0 für die Red Hat Software
Collections 1 für RHEL 6 und 7 zur Verfügung.
Patch:
Red Hat Security Advisory RHSA-2017:0002
http://rhn.redhat.com/errata/RHSA-2017-0002.html
CVE-2016-5180: Schwachstelle in c-ares ermöglicht Ausführung beliebigen
Programmcodes
In c-ares besteht bei der Verarbeitung einer eingehenden Zeichenkette über
‘ares_create_query’ oder ‘ares_mkquery’ eine Schwachstelle, da die Länge der
Zeichenkette bei Auftreten eines maskierten Punktes (trailing Dot, ‘\.’)
falsch berechnet wird. In der Folge wird ein Byte außerhalb des allozierten
Speicherbereiches geschrieben (Out-of-Bounds Write).
CVE-2016-7099: Schwachstelle in Node.js ermöglicht Umgehen von
Sicherheitsvorkehrungen
Ein TLS-Server kann ein ungültiges Platzhalterzertifikat (Wildcard
Certificate) für seinen Hostnamen ausgeben, das von Node.js-Clienten
akzeptiert wird, da die Zeichenkette ‘*.’ im Namen des
Platzhalterzertifikats auf Klientenseite falsch validiert wird. Ein
entfernter, nicht authentifizierter Angreifer kann dadurch
Sicherheitsvorkehrungen umgehen.
CVE-2016-5325: Schwachstelle in Node.js ermöglicht
Cross-Site-Scripting-Angriff
In Node.js existiert eine Schwachstelle bei der Verarbeitung von Anfragen
über HTTP. Ein entfernter, nicht authentifizierter Angreifer kann
HTTP-Response-Splitting beispielsweise zur Durchführung von
Cross-Site-Scripting-Angriffen (XSS) benutzen, wenn im an die Funktion
‘writeHead’ durch Benutzereingaben übergebenen ‘reason’-Parameter ein
Zeilenumbruch vorhanden ist. Dadurch sind Angriffe gegen Vertraulichkeit und
Integrität von Node.js möglich.
CVE-2016-1669: Schwachstelle in V8 / Node.js ermöglicht Ausführung
beliebigen Programmcodes
Die Funktion ‘Zone::New’ in ‘zone.cc’ in der Komponente Google V8 bevor
5.0.71.47, wie verwendet in Google Chrome und Chromium vor Version
50.0.2661.102 sowie Node.js, enthält eine nicht näher spezifizierte
Schwachstelle durch die der Pufferspeicher zum Überlauf gebracht werden kann
(Buffer Overflow). Ein entfernter, nicht authentifizierter Angreifer kann
diese Schwachstelle für einen Denial-of-Service (DoS)-Angriff oder
möglicherweise sogar zum Ausführen beliebigen Programmcodes ausnutzen.
Referenzen:
Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2017-0007/
Schwachstelle CVE-2016-1669 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-1669
Schwachstelle CVE-2016-5325 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5325
Schwachstelle CVE-2016-7099 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-7099
Schwachstelle CVE-2016-5180 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-5180
Red Hat Security Advisory RHSA-2017:0002:
http://rhn.redhat.com/errata/RHSA-2017-0002.html
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
