Nieuwe releases van Node.js 13.8, 12.15 en 10.19 met kwetsbaarheden opgelost

Разработчики серверной JavaScript-платформы Node.js hebben Correcties voor versies 13.8.0, 12.15.0 en 10.19.0, waarin drie kwetsbaarheden zijn verholpen:

• CVE-2019-15606 — onjuist omgaan met optionele spaties (OWS) na de waarde in de HTTP-header;
• CVE-2019-15605 — mogelijkheid om HRS-aanvallen (HTTP Request Smuggling) uit te voeren, toe die zich kunnen bemoeien met de inhoud van andere verzoeken die in dezelfde stroom tussen de frontend en de backend worden verwerkt, door een speciaal gevormde HTTP-header voor Transfer-Encoding te verzenden;
• CVE-2019-15604 — op afstand geïnitieerde crash van de TLS-server door een onjuiste string in het certificaat te verzenden.

Bovendien is in de nieuwe releases gewerkt aan het verbeteren van de beveiliging van de HTTP-parser en een striktere ontleding van de elementen van HTTP-verzoeken. Deze wijziging kan compatibiliteitsproblemen veroorzaken met implementaties van HTTP die de specificatienormen overtreden. Om de strikte controlemodus uit te schakelen, is er een configuratie voor insecureHTTPParser en een optie voor de opdrachtregel ‘—insecure-http-parser’.

Bron: opennet.ru