Nové vydania Node.js 13.8, 12.15 a 10.19 s odstránením zraniteľností.

Разработчики серверной JavaScript-платформы Node.js publikovali opravy verzií 13.8.0, 12.15.0 a 10.19.0, ktoré odstraňujú tri zraniteľnosti:

• CVE-2019-15606 — nesprávne spracovanie voliteľných medzier (OWS), ktoré nasledujú po hodnote v HTTP hlavičke;
• CVE-2019-15605 — možnosť vykonania útoku HRS (HTTP Request Smuggling, umožňuje vklinenie do obsahu iných požiadaviek spracovávaných v tej istej vetve medzi frontend a backend) cez prenos špeciálne formátovanej HTTP hlavičky Transfer-Encoding;
• CVE-2019-15604 — vzdialene iniciovaná havária TLS servera cez prenos neplatného reťazca v certifikáte.

Okrem toho, v nových verziách bola vykonaná práca na zlepšení zabezpečenia HTTP parsera a prísnejšom parsovaní prvkov HTTP požiadaviek. Zmena môže viesť k problémom s kompatibilitou s implementáciami HTTP, ktoré porušujú požiadavky špecifikácií. Pre deaktiváciu prísneho režimu kontroly je k dispozícii nastavenie insecureHTTPParser a voľba príkazového riadku "—insecure-http-parser."

Zdroj: opennet.ru