Nya versioner av Node.js 13.8, 12.15 och 10.19 med säkerhetsåtgärder

Разработчики серверной JavaScript-платформы Node.js har publicerat korrekturversioner 13.8.0, 12.15.0 och 10.19.0, där tre sårbarheter har åtgärdats:

• CVE-2019-15606 — felaktig hantering av valfria blanksteg (OWS) som kommer efter värdet i HTTP-huvudet;
• CVE-2019-15605 — möjligheten att genomföra HRS (HTTP Request Smuggling, möjliggör att infiltrera innehåll i andra förfrågningar som behandlas i samma ström mellan frontend och backend) genom att skicka en specialdesignad HTTP-header för Transfer-Encoding;
• CVE-2019-15604 — fjärrinitierad krasch av TLS-servern genom att skicka en ogiltig sträng i certifikatet.

Dessutom har nya versioner arbetat med att öka säkerheten för HTTP-parsaren och mer strikt analysera element i HTTP-förfrågningar. Ändringen kan leda till kompatibilitetsproblem med HTTP-implementeringar som bryter mot specifikationerna. För att stänga av den strikta kontrollläget finns det en inställning för insecureHTTPParser och ett kommandoradsalternativ "—insecure-http-parser".

Källa: opennet.ru