2019-1727: Node.js: Mehrere Schwachstellen ermöglichen verschiedene Denial-of-Service-Angriffe

Historie:

Version 1 (2019-08-16 18:40): Neues Advisory
Version 2 (2019-08-19 14:01): Für Fedora 29 und 30 sowie Fedora 29 und 30 Modular stehen Sicherheitsupdates für Node.js auf die Version 10.16.3 im Status 'testing' bereit, um die referenzierten Schwachstellen zu beheben.
Version 3 (2019-08-26 12:14): Für Fedora 29 und 30 Modular stehen Updates von Node.js auf die Version 12.9.0 im Status 'testing' bereit, wodurch die vorhergehenden Sicherheitsupdates in den Zustand 'obsolete' übergegangen sind. Die Referenzen wurden daher hier entfernt.
Version 4 (2019-08-30 13:14): Für SUSE Linux Enterprise Module for Web Scripting 12 steht ein Sicherheitsupdate für 'nodejs10' auf Version 10.16.3 bereit, um diese Schwachstellen zu beheben.
Version 5 (2019-09-02 14:51): Für SUSE Linux Enterprise Module for Web Scripting 15 und 15 SP1 stehen Sicherheitsupdates für 'nodejs10' auf Version 10.16.3 und 'nodejs8' auf Version 8.16.1 bereit, um diese Schwachstellen zu beheben.
Version 6 (2019-09-11 13:48): Für openSUSE Leap 15.0 und 15.1 stehen Sicherheitsupdates für 'nodejs10' auf Version 10.16.3 und 'nodejs8' auf Version 8.16.1 bereit, um diese Schwachstellen zu beheben.
Version 7 (2019-10-01 13:38): Für Red Hat Enterprise Linux 8 und Oracle Linux 8 stehen Sicherheitsupdates von 'nodejs:10' zur Verfügung, um die Schwachstellen zu schließen.
Version 8 (2019-10-01 16:46): Red Hat stellt Sicherheitsupdates von 'rh-nodejs10-nodejs' für die Red Hat Software Collections 1 für Red Hat Enterprise Linux Server 7, 7.5, 7.6 und 7.7 sowie für Red Hat Enterprise Linux Workstation 7 bereit, um die Schwachstellen zu beheben.
Version 9 (2019-10-04 15:14): Red Hat stellt Sicherheitsupdates von 'rh-nodejs8-nodejs' für die Red Hat Software Collections 1 für Red Hat Enterprise Linux Server 7, 7.5, 7.6 und 7.7 sowie für Red Hat Enterprise Linux Workstation 7 bereit, um die Schwachstellen zu beheben.

Betroffene Software

Entwicklung
Middleware
Server
Systemsoftware

Betroffene Plattformen

Linux
Oracle

Beschreibung:

Ein entfernter, nicht authentisierter Angreifer kann Schwachstellen in der Implementierung von HTTP/2 ausnutzen, um verschiedene Denial-of-Service (DoS)-Angriffe durchzuführen.

Das Node.js 12 Sicherheitsupdate 2019-08-15, Version 12.8.1 steht zur Behebung der Schwachstellen bereit.

Für Fedora 29 und 30 Modular stehen Sicherheitsupdates auf diese Version zur Verfügung, welche sich derzeit noch im Status 'pending' befinden.