2018-1664: Node.js, OpenSSL: Mehrere Schwachstellen ermöglichen u. a. Denial-of-Service-Angriffe

Historie:

Version 1 (2018-08-17 14:42)

Neues Advisory

Version 2 (2018-09-24 14:59)

Für SUSE Linux Enterprise Module for Web Scripting 12, SUSE Enterprise Storage 4, SUSE OpenStack Cloud Crowbar 8, SUSE OpenStack Cloud 7 und openSUSE Leap 42.3 stehen Sicherheitsupdates für das Paket 'nodejs6' auf Version 6.14.4 bereit, mit denen die Schwachstellen CVE-2018-0732 und CVE-2018-12115 behoben werden. Für SUSE Linux Enterprise Module for Web Scripting 15 steht ein entsprechendes Sicherheitsupdate für 'nodejs8' auf Version 8.11.4 zur Verfügung.

Version 3 (2018-09-25 18:18)

Für openSUSE Leap 15.0 steht ein Sicherheitsupdate für das Paket 'nodejs8' auf Version 8.11.4 bereit, welches die Schwachstellen CVE-2018-0732 und CVE-2018-12115 adressiert.

Betroffene Software

Entwicklung
Systemsoftware

Betroffene Plattformen

Netzwerk
Cloud
Linux

Beschreibung:

Zwei Schwachstellen in Node.js ermöglichen einem entfernten, nicht authentisierten Angreifer die Durchführung eines Denial-of-Service (DoS)-Angriffes und das Ausspähen von Informationen. Zwei weitere Schwachstellen in OpenSSL ermöglichen dem Angreifer ebenfalls einen Denial-of-Service (DoS)-Angriff und das Ausspähen von Informationen.

Der Hersteller stellt Node.js in den Versionen 6.14.4 (LTS 'Boron'), 8.11.4 (LTS 'Carbon') sowie 10.4.1 (Current) zur Behebung der Schwachstellen zur Verfügung. Die Schwachstelle CVE-2018-7166 betrifft dabei nur den Versionszweige 10.x.

Fedora stellt für Fedora 27 und 28 die Pakete 'nodejs-8.11.4-1.fc27' und ' nodejs-8.11.4-1.fc28' als Sicherheitsupdates zur Behebung der Schwachstellen zur Verfügung, welche sich derzeit noch im Status 'pending' befinden. Die Software wird damit auf die Versionen 8.11.4 aktualisiert.

Schwachstellen:

CVE-2018-0495

Schwachstelle in Libgcrypt ermöglicht Ausspähen von Informationen

CVE-2018-0732

Schwachstelle in OpenSSL ermöglicht Denial-of-Service-Angriff

CVE-2018-12115

Schwachstelle in Node.js ermöglicht u. a. Denial-of-Service-Angriff

CVE-2018-7166

Schwachstelle in Node.js ermöglicht Ausspähen von Informationen

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.