주요 변경 사항
이번 릴리스는 보안 릴리스입니다.
다음 취약점을 수정했습니다.
- CVE-2020-8265: TLSWrap의 use-after-free (높음)
영향을 받는 Node.js 버전은 TLS 구현 부분에 있는 use-after-free 버그에 취약합니다.
TLS 가능한 소켓에 데이터를 쓸 때 node::StreamBase::Write는 node::TLSWrap::DoWrite를 호출하며,
이때 첫 번째 인수로 새롭게 할당된 WriteWrap 객체를 전달합니다. 이 객체는 DoWrite 메서드가 에러를 반환하지 않으면
호출한 함수에게 StreamWriteResult 구조체의 일부를 반환합니다. 이는 서비스 거부 혹은 잠재적인 다른 보안 문제를
일으키는 메모리 오염으로 악용될 수 있습니다. - CVE-2020-8287: Node.js의 HTTP 요청 스머글링(Smuggling)
영향을 받는 Node.js 버전은 하나의 HTTP 요청에 두 개의 동일한 헤더 필드를 허용합니다.
예를 들어 두 개의 Transfer-Encoding 헤더 필드가 존재할 수 있습니다. 이 경우 Node.js는
첫 번째 헤더 필드를 사용하고 두 번째 헤더 필드는 무시합니다. 이 문제는 HTTP 요청 스머글링 문제를
일으킬 수 있습니다. (https://cwe.mitre.org/data/definitions/444.html) - CVE-2020-1971: OpenSSL - EDIPARTYNAME NULL 포인터 역참조 (높음)
이 문제는 Node.js를 통해 악용될 수 있는 OpenSSL의 취약점입니다.
더 자세한 정보는 https://www.openssl.org/news/secadv/20201208.txt에서 읽을 수 있습니다.
Commits
- [
bd44b0ee7f] - build,win: accept Python 3 if 2 is not available (João Reis) #29236 - [
d5c9b09bdc] - build,win: find Python in paths with spaces (João Reis) #29236 - [
323a6f114a] - deps: update http-parser to http-parser@ec8b5ee63f (Richard Lau) nodejs-private/node-private#235 - [
f08d0fef64] - deps: upgrade npm to 6.14.10 (Ruy Adorno) #36571 - [
b0608b574a] - deps: update archs files for OpenSSL-1.1.1i (Richard Lau) #36541 - [
d936e1833f] - deps: upgrade openssl sources to 1.1.1i (Myles Borins) #36541 - [
9c4970715c] - deps: upgrade npm to 6.14.9 (Myles Borins) #36450 - [
aa6b97fb99] - http: add test for http transfer encoding smuggling (Richard Lau) nodejs-private/node-private#235 - [
fc70ce08f5] - http: unsetF_CHUNKEDon newTransfer-Encoding(Fedor Indutny) nodejs-private/node-private#235 - [
7f178663eb] - src: use unique_ptr for WriteWrap (Daniel Bevenius) nodejs-private/node-private#238 - [
357e2857c8] - test: add test-tls-use-after-free-regression (Daniel Bevenius) nodejs-private/node-private#238
Windows 32-bit Installer: https://nodejs.org/dist/v10.23.1/node-v10.23.1-x86.msi
Windows 64-bit Installer: https://nodejs.org/dist/v10.23.1/node-v10.23.1-x64.msi
Windows 32-bit Binary: https://nodejs.org/dist/v10.23.1/win-x86/node.exe
Windows 64-bit Binary: https://nodejs.org/dist/v10.23.1/win-x64/node.exe
macOS 64-bit Installer: https://nodejs.org/dist/v10.23.1/node-v10.23.1.pkg
macOS 64-bit Binary: https://nodejs.org/dist/v10.23.1/node-v10.23.1-darwin-x64.tar.gz
Linux 64-bit Binary: https://nodejs.org/dist/v10.23.1/node-v10.23.1-linux-x64.tar.xz
Linux PPC LE 64-bit Binary: https://nodejs.org/dist/v10.23.1/node-v10.23.1-linux-ppc64le.tar.xz
Linux s390x 64-bit Binary: https://nodejs.org/dist/v10.23.1/node-v10.23.1-linux-s390x.tar.xz
AIX 64-bit Binary: https://nodejs.org/dist/v10.23.1/node-v10.23.1-aix-ppc64.tar.gz
SmartOS 64-bit Binary: https://nodejs.org/dist/v10.23.1/node-v10.23.1-sunos-x64.tar.xz
ARMv6 32-bit Binary: https://nodejs.org/dist/v10.23.1/node-v10.23.1-linux-armv6l.tar.xz
ARMv7 32-bit Binary: https://nodejs.org/dist/v10.23.1/node-v10.23.1-linux-armv7l.tar.xz
ARMv8 64-bit Binary: https://nodejs.org/dist/v10.23.1/node-v10.23.1-linux-arm64.tar.xz
Source Code: https://nodejs.org/dist/v10.23.1/node-v10.23.1.tar.gz
Other release files: https://nodejs.org/dist/v10.23.1/
Documentation: https://nodejs.org/docs/v10.23.1/api/
SHASUMS
1 | -----BEGIN PGP SIGNED MESSAGE----- |