주요 변경 사항
이번 릴리스는 보안 릴리스입니다.
다음 취약점을 수정했습니다.
-
CVE-2020-1971: OpenSSL - EDIPARTYNAME NULL 포인터 역참조 (높음)
- 이 문제는 Node.js를 통해 악용될 수 있는 OpenSSL의 취약점입니다. 더 자세한 정보는
https://www.openssl.org/news/secadv/20201208.txt에서 읽을 수 있습니다.
- 이 문제는 Node.js를 통해 악용될 수 있는 OpenSSL의 취약점입니다. 더 자세한 정보는
-
CVE-2020-8265: TLSWrap의 use-after-free (높음)
- 영향을 받는 Node.js 버전은 TLS 구현 부분에 있는 use-after-free 버그에 취약합니다.
TLS 가능한 소켓에 데이터를 쓸 때 node::StreamBase::Write는 node::TLSWrap::DoWrite를 호출하며,
이때 첫 번째 인수로 새롭게 할당된 WriteWrap 객체를 전달합니다. 이 객체는 DoWrite 메서드가 에러를 반환하지 않으면
호출한 함수에게 StreamWriteResult 구조체의 일부를 반환합니다. 이는 서비스 거부 혹은 잠재적인 다른 보안 문제를
일으키는 메모리 오염으로 악용될 수 있습니다.
- 영향을 받는 Node.js 버전은 TLS 구현 부분에 있는 use-after-free 버그에 취약합니다.
-
CVE-2020-8287: Node.js의 HTTP 요청 스머글링(Smuggling)
- 영향을 받는 Node.js 버전은 하나의 HTTP 요청에 두 개의 동일한 헤더 필드를 허용합니다.
예를 들어 두 개의 Transfer-Encoding 헤더 필드가 존재할 수 있습니다. 이 경우 Node.js는
첫 번째 헤더 필드를 사용하고 두 번째 헤더 필드는 무시합니다. 이 문제는 HTTP 요청 스머글링 문제를
일으킬 수 있습니다. (https://cwe.mitre.org/data/definitions/444.html)
- 영향을 받는 Node.js 버전은 하나의 HTTP 요청에 두 개의 동일한 헤더 필드를 허용합니다.
Commits
- [
305c0f4977] - deps: upgrade npm to 6.14.10 (Ruy Adorno) #36571 - [
d62c650f75] - deps: update archs files for OpenSSL-1.1.1i (Myles Borins) #36521 - [
2de2672eb5] - deps: upgrade openssl sources to 1.1.1i (Myles Borins) #36521 - [
7ecac8143f] - http: add test for http transfer encoding smuggling (Matteo Collina) nodejs-private/node-private#228 - [
641f786bb1] - http: unsetF_CHUNKEDon newTransfer-Encoding(Matteo Collina) nodejs-private/node-private#228 - [
4f8772f9b7] - src: retain pointers to WriteWrap/ShutdownWrap (James M Snell) nodejs-private/node-private#23
Windows 32-bit Installer: https://nodejs.org/dist/v14.15.4/node-v14.15.4-x86.msi
Windows 64-bit Installer: https://nodejs.org/dist/v14.15.4/node-v14.15.4-x64.msi
Windows 32-bit Binary: https://nodejs.org/dist/v14.15.4/win-x86/node.exe
Windows 64-bit Binary: https://nodejs.org/dist/v14.15.4/win-x64/node.exe
macOS 64-bit Installer: https://nodejs.org/dist/v14.15.4/node-v14.15.4.pkg
macOS 64-bit Binary: https://nodejs.org/dist/v14.15.4/node-v14.15.4-darwin-x64.tar.gz
Linux 64-bit Binary: https://nodejs.org/dist/v14.15.4/node-v14.15.4-linux-x64.tar.xz
Linux PPC LE 64-bit Binary: https://nodejs.org/dist/v14.15.4/node-v14.15.4-linux-ppc64le.tar.xz
Linux s390x 64-bit Binary: https://nodejs.org/dist/v14.15.4/node-v14.15.4-linux-s390x.tar.xz
AIX 64-bit Binary: https://nodejs.org/dist/v14.15.4/node-v14.15.4-aix-ppc64.tar.gz
ARMv7 32-bit Binary: https://nodejs.org/dist/v14.15.4/node-v14.15.4-linux-armv7l.tar.xz
ARMv8 64-bit Binary: https://nodejs.org/dist/v14.15.4/node-v14.15.4-linux-arm64.tar.xz
Source Code: https://nodejs.org/dist/v14.15.4/node-v14.15.4.tar.gz
Other release files: https://nodejs.org/dist/v14.15.4/
Documentation: https://nodejs.org/docs/v14.15.4/api/
SHASUMS
1 | -----BEGIN PGP SIGNED MESSAGE----- |