Vulnérabilités dans Node.js

Plusieurs vulnérabilités critiques et importantes ont été découvertes dans Node.js, un environnement d’exécution pour JavaScript. Elles peuvent permettre à un attaquant distant d’effectuer un déni de service, une exécution de code arbitraire et un contournement de la politique de sécurité en cas d’exploitation réussie.

CVE-2019-15605 [Score CVSS v3 : 9.8] : Une vulnérabilité d’interprétation incorrecte de requêtes HTTP a été découverte dans Node.js. En utilisant une requête ayant un entête « transfer-encoding » incorrect, un attaquant peut délivrer une charge utile malveillante vers un système vulnérable.

CVE-2019-15606 [Score CVSS v3 : 9.8] : Une vulnérabilité due à une validation incorrecte d’entrées peut permettre à un attaquant de contourner une politique de sécurité. Dans les entêtes HTTP, si l’espace optionnel est inclus, il est possible de contourner les autorisations basées sur la comparaison des valeurs d’entêtes.

CVE-2019-15604 [Score CVSS v3 : 7.5] : Une validation incorrecte de certificats dans Node.js peut permettre à un attaquant de causer un déni de service en envoyant un certificat X.509 spécialement forgé.