「Node.js」に複数の脆弱性 - アップデートがリリース
「Node.js」の開発チームは、複数の脆弱性に対処したセキュリティアップデートをリリースした。利用者にアップデートを呼びかけている。
事前予告のとおり、現地時間2025年1月21日にセキュリティアドバイザリを公開し、3件の脆弱性について明らかにしたもの。
「CVE-2025-23083」は、内部ワーカースレッドが漏洩し、ユーティリティを用いることでワーカースレッドの作成ごとにイベントフックが可能となる脆弱性。権限をバイパスしてワーカーインスタンスを取得したり、コンストラクターを取得して再構成し、悪用できるという。
くわえて、重要度が1段階低い「中(Medium)」とされる脆弱性2件を修正した。「HTTP/2」の処理でメモリリークが生じ、DoS攻撃に悪用されるおそれがある脆弱性「CVE-2025-23085」や、Windows環境におけるパス操作の脆弱性「CVE-2025-23084」に対応している。
開発チームでは、これら脆弱性を解消した「同23.6.1」「同22.13.1」「同20.18.2」「同18.20.6」をリリース。利用者に対してアップデートを呼びかけている。
またこれら脆弱性とは別に、サポートが終了した「同21」「同19」「同17」に対し、それぞれ「CVE-2025-23089」「CVE-2025-23088」「CVE-2025-23087」が割り当てられたことを明らかにした。脆弱性の修正予定はないとして、注意喚起を行っている。
(Security NEXT - 2025/01/22 )
ツイート
PR
関連記事
「Zimbra」に複数の深刻な脆弱性 - 最新版へアップデートを
行政機関向け資産管理システム「Cityworks」に脆弱性 - すでに悪用も
特権アクセス管理製品「Symantec PAM」に深刻な脆弱性
「MS Edge」がリリース - 独自含む脆弱性10件を解消
先週注目された記事(2025年2月2日〜2025年2月8日)
「Defense Platform HE」に複数脆弱性 - 最新版へ更新を
Cisco、セキュリティアドバイザリ8件を公表 - 脆弱性18件に対応
「IBM Security Verify Directory Server Container」に複数の脆弱性
米当局、1月は14件の脆弱性悪用について注意喚起
米当局、「7-Zip」などの脆弱性に注意喚起 - 悪用カタログに5件追加