Nové verze Node.js 13.8, 12.15 a 10.19 s opravou zranitelností

Разработчики серверной JavaScript-платформы Node.js publikovali Opravy verzí 13.8.0, 12.15.0 a 10.19.0, které odstranily tři zranitelnosti:

• CVE-2019-15606 — nesprávné zpracování nepovinných mezer (OWS) za hodnotou v HTTP hlavičce;
• CVE-2019-15605 — možnost provedení útoku HRS (HTTP Request Smuggling, umožňuje vklouznout do obsahu dalších požadavků zpracovávaných ve stejném toku mezi frontendem a backendem) prostřednictvím speciálně formátované HTTP hlavičky Transfer-Encoding;
• CVE-2019-15604 — vzdáleně iniciovaný pád TLS serveru prostřednictvím přenosu nesprávného řetězce v certifikátu.

Kromě toho byly v nových verzích provedeny úpravy pro zvýšení zabezpečení HTTP parseru a přísnější analýzu prvků HTTP požadavků. Změny mohou vést k problémům s kompatibilitou s implementacemi HTTP, které porušují požadavky specifikací. Pro vypnutí přísného režimu kontroly je k dispozici nastavení insecureHTTPParser a volba příkazové řádky "—insecure-http-parser".

Zdroj: opennet.ru