BLOGOSSに関するセキュリティ・ツールの使い方・脆弱性等を紹介しています。Intelligence等。CVE-2023-24807)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。各ディストリビューションの情報を確認してください。CVE概要(詳細はCVEのサイトをご確認ください)https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-23918process.mainModuleによるNode.jsパーミッションの迂回process.mainModule.require()を用いてNode.jsのパーミッションを迂回し認証されていないモジュールにアクセスすることが可能という問題が見つかりました。これは–experimental-policyオプションを有効にしている際に発生します。cryptoライブラリ中のOpenSSLエラーハンドリングの問題によるDoSの可能性いくつかのケースでは、Node.jsは操作がセットされた後にOpenSSLエラースタックをクリアしていませんでした。Positiveエラーが発生する可能性があります。この結果、DoSが発生する可能性があります。APIでは’host’ヘッダ中のCRLFインジェクションに対して保護を行っておらず、これによりHTTPヘッダーインジェクション攻撃の影響を受ける可能性があります。https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-23920ICU_DATA環境変数を通じたICUデータの安全でない読み込みNode.jsでは実行され権限を昇格させる際にICUデータを検索して環境変数から読み込む可能性があります。ICU_NO_USER_DATA_OVERRIDEを変更することでこれを防ぐことが出来ます。API中でHeaders.set()とHeaders.append()メソッドが正規表現DoS(ReDoS)の脆弱性を持っていました。各ディストリビューションの案内に従い、アップデートを行ってください。SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。CVE-2017-16661)11/07/2017にCactiの脆弱性情報(CVE-2017-16641)が公開されています。Kernelの脆弱性情報(CVE-2019-9213)が公開されています。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。CVE-2021-20268)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。CVE-2017-3141(Windo...OSS脆弱性ブログQEMUの脆弱性(CVE-2018-11806)06/07/2018に、QEMUの脆弱性についての情報(CVE-2018-11806)が出ています。KVMやXenにも関わってきますので、今回は、この脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。