توسعه دهندگان پلتفرم جاوا اسکریپت سمت سرور Node.js اصلاح نسخه های 13.8.0، 12.15.0 و 10.19.0 را منتشر می کند که سه آسیب پذیری را برطرف می کند:
- CVE-2019-15606 - مدیریت نادرست کاراکترهای فضای اختیاری (OWS) به دنبال یک مقدار در هدر HTTP.
- CVE-2019-15605 - امکان انجام حمله HRS (قاچاق درخواست HTTP، از طریق ارسال یک هدر HTTP Transfer-Encoding ویژه طراحی شده، در محتوای درخواست‌های دیگر پردازش شده در همان رشته بین قسمت جلو و باطن قرار گیرد.
- CVE-2019-15604 یک خرابی سرور TLS از راه دور از طریق ارسال رشته نادرست در گواهی است.
علاوه بر این، در نسخه های جدید، کار برای بهبود امنیت تجزیه کننده HTTP و تجزیه دقیق تر عناصر درخواست HTTP انجام شده است. این تغییر ممکن است باعث مشکلات سازگاری با اجرای HTTP شود که مشخصات را نقض می کند. برای غیرفعال کردن حالت تأیید دقیق، تنظیمات insecureHTTPParser و گزینه خط فرمان "—insecure-http-parser" ارائه شده است.
منبع: opennet.ru