2016-0253: Node.js: Zwei Schwachstellen ermöglichen Cross-Site-Scripting-Angriffe

Historie:

Version 1 (2016-02-11 16:34): Neues Advisory
Version 2 (2016-02-29 17:21): Für openSUSE 13.2 und openSUSE Leap 42.1 stehen Sicherheitsupdates für nodejs zur Verfügung.

Betroffene Software

Entwicklung
Systemsoftware

Betroffene Plattformen

Linux

Beschreibung:

Zwei Schwachstellen in Node.js ermöglichen einem entfernten, nicht authentifizierten Angreifer das Durchführen verschiedener Arten von Cross-Site-Scripting (XSS)-Angriffen.

Der Hersteller weist darauf hin, dass die Versionszweige 0.10.x, 0.12.x, 4.x und 5.x betroffen sind und stellt Sicherheitsupdates auf die Versionen 0.10.42, 0.12.10, 4.3.0 und 5.6.0 bereit. Insbesondere wird der Versionszweig 4.2.x nicht weiter unterstützt, ein Update auf 4.3.x wird dringend empfohlen.

Fedora stellt für die Distributionen Fedora 22 und 23 sowie Fedora EPEL 6 und 7 mit den Paketen nodejs-0.10.42-4.fc22, nodejs-0.10.42-4.fc23 Sicherheitsupdates im Status 'pending', bzw. nodejs-0.10.42-4.el6 und nodejs-0.10.42-4.el7 im Status 'testing' bereit.

Schwachstellen:

CVE-2016-2086

Schwachstelle in Node.js ermöglicht Cross-Site-Scripting-Angriff

CVE-2016-2216