Нови версии на Node.js 13.8, 12.15 и 10.19 с поправки на уязвимости

Разработчики серверной JavaScript-платформы Node.js публикуваха поправки 13.8.0, 12.15.0 и 10.19.0, в които са отстранени три уязвимости:

• CVE-2019-15606 — несъответстваща обработка на необходими символи за интервал (OWS), следващи стойността в HTTP заглавието;
• CVE-2019-15605 — възможност за извършване на атака HRS (HTTP Request Smuggling, позволява вмъкване в съдържанието на други заявки, обработвани в същия поток между фронтенда и бекенда) чрез предаване на специално форматирано HTTP заглавие Transfer-Encoding;
• CVE-2019-15604 — отдалечен крах на TLS-сървъра чрез предаване на неправилна стойност в сертификата.

Освен това, в новите версии е извършена работа по повишаване на сигурността на парсера HTTP и по-строга обработка на елементите на HTTP заявките. Промяната може да доведе до проблеми със съвместимостта с реализации на HTTP, които не спазват изискванията на спецификациите. За деактивиране на строгия режим на проверка е предвидена настройка insecureHTTPParser и опция на командния ред "—insecure-http-parser".

Източник: opennet.ru