Új Node.js 13.8, 12.15 és 10.19 kiadások biztonsági hibák javításával

Разработчики серверной JavaScript-платформы Node.js közzétették javító kiadások 13.8.0, 12.15.0 és 10.19.0, amelyekben három sebezhetőséget javítottak:

• CVE-2019-15606 — helytelenül kezelt opcionális szóköz (OWS), amely a HTTP fejléc értéke után következik;
• CVE-2019-15605 — HRS (HTTP Request Smuggling) támadás lehetősége, MMM-DD-YYYY amely lehetővé teszi, hogy más kérések tartalmába bepattanjanak, amelyeket ugyanabban a szálban kezelnek a frontend és a backend között) a speciálisan formázott HTTP fejléc Transfer-Encoding átadásával;
• CVE-2019-15604 — távolról kezdeményezett TLS-szerver leállása hibás karakterlánc átadása miatt a tanúsítványban.

Emellett az új kiadásokban a HTTP elemző biztonságának javításán is dolgoztak, és szigorúbb elemzést végeznek a HTTP kérések elemein. A változás kompatibilitási problémákhoz vezethet olyan HTTP megvalósításokkal, amelyek nem felelnek meg a specifikációk követelményeinek. A szigorú ellenőrzési mód letiltásához az insecureHTTPParser beállítás és a parancssori opció „—insecure-http-parser” áll rendelkezésre.

Forrás: opennet.ru