Novas versões do Node.js 13.8, 12.15 e 10.19 com correções de vulnerabilidades

Разработчики серверной JavaScript-платформы Node.js publicaram Atalhos para as versões 13.8.0, 12.15.0 e 10.19.0, que corrigem três vulnerabilidades:

• CVE-2019-15606 — tratamento inadequado de caracteres em branco opcionais (OWS) que aparecem após o valor no cabeçalho HTTP;
• CVE-2019-15605 — possibilidade de ataque HRS (HTTP Request Smuggling, permite injetar conteúdo em outras solicitações processadas no mesmo fluxo entre o front-end e o back-end) através da transmissão de um cabeçalho HTTP Transfer-Encoding formatado de maneira especial;
• CVE-2019-15604 — falha remota do servidor TLS devido à transmissão de uma string inválida no certificado.

Além disso, nas novas versões, houve um trabalho para aumentar a segurança do parser HTTP e uma análise mais rigorosa dos elementos das solicitações HTTP. Essa alteração pode causar problemas de compatibilidade com implementações de HTTP que violam os requisitos das especificações. Para desativar o modo rigoroso de verificação, há uma configuração insecureHTTPParser e a opção de linha de comando "--insecure-http-parser".

Fonte: opennet.ru