Kaluaran anyar Node.js 13.8, 12.15 sareng 10.19 kalayan kerentanan tetep

Pamekar platform JavaScript sisi server Node.js diterbitkeun Rilis korektif 13.8.0, 12.15.0, sareng 10.19.0, anu ngalereskeun tilu kerentanan:

• CVE-2019-15606 - Pangaturan karakter spasi bodas opsional (OWS) anu salah nuturkeun nilai dina header HTTP;
• CVE-2019-15605 - Kamungkinan serangan HRS (HTTP Request Smuggling), Hal ieu ngamungkinkeun nyelipkeun kana eusi pamundut sanés anu diprosés dina aliran anu sami antara frontend sareng backend) ku cara ngirimkeun header HTTP Transfer-Encoding anu diformat khusus;
• CVE-2019-15604 – Ngamimitian kacilakaan server TLS ti jarak jauh ku cara ngirimkeun string anu teu valid dina sertipikat.

Salian ti éta, rilis anyar parantos ningkatkeun kaamanan parser HTTP sareng nerapkeun parsing anu langkung ketat pikeun unsur pamundut HTTP. Parobihan ieu tiasa nyababkeun masalah kompatibilitas sareng implementasi HTTP anu ngalanggar sarat spésifikasi. Pikeun nganonaktipkeun mode parsing anu ketat, anggo setélan insecureHTTPParser sareng pilihan baris paréntah "--insecure-http-parser".

sumber: opennet.ru