Nye versioner af Node.js 13.8, 12.15 og 10.19 med sårbarheder rettet.

Разработчики серверной JavaScript-платформы Node.js har offentliggjort Korrigerende udgivelser 13.8.0, 12.15.0 og 10.19.0, hvor tre sårbarheder er blevet rettet:

• CVE-2019-15606 — forkert behandling af valgfri whitespace-tegn (OWS), der kommer efter værdien i HTTP-headeren;
• CVE-2019-15605 — mulighed for at udføre en HRS-attack (HTTP Request Smuggling, det muligt indsætte sig i indholdet af andre forespørgsler, der behandles i samme strøm mellem frontend og backend) ved at sende en specielt udformet HTTP-header Transfer-Encoding;
• CVE-2019-15604 — fjernudløst nedbrud af TLS-serveren gennem en ugyldig streng i certifikatet.

Desuden er der i de nye udgivelser arbejdet på at forbedre sikkerheden af HTTP-parseren og strengere analysere elementer i HTTP-forespørgsler. Ændringen kan føre til kompatibilitetsproblemer med HTTP-implementeringer, der overtræder specifikationskrav. For at deaktivere den strenge kontroltilstand er der en indstilling insecureHTTPParser og en kommandolinjeindstilling "—insecure-http-parser."

Kilde: opennet.ru