Нови версии на Node.js 13.8, 12.15 и 10.19 с корекции на уязвимости.

Разработчики серверной JavaScript-платформы Node.js публикуваха коригиращи версии 13.8.0, 12.15.0 и 10.19.0, в които са отстранени три уязвимости:

• CVE-2019-15606 — неправилна обработка на незадължителни символи за интервал (OWS), следващи стойността в HTTP заглавието;
• CVE-2019-15605 — възможност за извършване на атака HRS (HTTP Request Smuggling, позволява включвайки се в съдържанието на други заявки, обработвани в същия поток между фронтенда и бекенда) чрез предаване на специално оформено HTTP заглавие Transfer-Encoding;
• CVE-2019-15604 — отдалечен срив на TLS сървър чрез предаване на неправилна стойност в сертификата.

Освен това, в новите версии е извършена работа по повишаване на сигурността на HTTP парсера и по-стриктно анализиране на елементите на HTTP заявките. Промяната може да доведе до проблеми с съвместимостта с реализации на HTTP, които нарушават изискванията на спецификациите. За деактивиране на строгия режим на проверка е предвидена настройка insecureHTTPParser и опция команден ред «—insecure-http-parser».

Източник: opennet.ru