이 릴리스는 보안 업데이트를 포함하고 있습니다. OpenSSL 1.0.1s는 Node.js에 영향을 미치는 심각도가 낮은(low-severity) 몇 가지 결함을 수정합니다. 자세한 내용은 영향 평가를 참고하세요.
주요 변경 사항
- http_parser: http-parser를 2.3.2로 업데이트하여 허용 가능한 헤더 문자에 의도치 않게 제한이 생기던 문제를 수정했습니다. (James M Snell) nodejs/node#5241
- domains:
- 에러가 발생한 도메인에 에러 핸들러가 설정되어 있지 않고
process에uncaughtException이벤트 리스너가 설정되었을 때process객체에uncaughtException이벤트가 발생하는 대신 예외가 던져지는(throw) 것 때문에 프로세스가 종료되던 문제를 수정했습니다. (Julien Gilli) nodejs/node#3885 - 에러 핸들러가 없는 도메인에서 에러가 발생하고
--abort-on-uncaught-exception이 사용됐을 때 적절한 함수 호출에서 프로세스가 종료되지 않던 이슈가 수정됐습니다. (Julien Gilli) nodejs/node#3885
- 에러가 발생한 도메인에 에러 핸들러가 설정되어 있지 않고
- openssl: 1.0.1r에서 1.0.1s로 업그레이드 했습니다. (Ben Noordhuis) nodejs/node#5509
- DoS나 메모리 변조(memory corruption) 공격에 사용될 수 있는 형식이 올바르지 않은(malformed) DSA 키를 파싱할 때 발생하는 이중 해제(double free) 문제를 수정합니다. 실제 공격에 이 결함이 악용되기는 매우 어려울 것이므로 이 결함은 Node.js 사용자에게 낮은 심각도로 판단됩니다. 더 자세한 정보는 https://www.openssl.org/news/vulnerabilities.html#2016-0705에서 볼 수 있습니다.
- 내부의
BN_hex2bn()와BN_dec2bn()함수와 관련 있는 매우 드문 사례에서 메모리 변조를 일으킬 수 있는 결함을 수정했습니다. Node.js는 이 함수를 사용하는 코드를 호출하지 않으므로 이 결함을 사용한 실제적인 Node.js 공격은 불가능할 것으로 보입니다. 더 자세한 정보는 https://www.openssl.org/news/vulnerabilities.html#2016-0797에서 볼 수 있습니다. - CacheBleed 공격(https://ssrg.nicta.com.au/projects/TS/cachebleed/)을 가능하게 할 수 있는 결함을 수정했습니다. 이 결함은 공격자에게 전체 RSA 비공개 키를 복구할 수 있는 부채널 공격(side-channel attacks)을 허용합니다. 이 결함은 인텔 샌디 브리지(혹은 그 이전 버전) 마이크로아키텍처에서 하이퍼 스레딩(hyper-threading)을 사용할 때만 영향을 미칩니다. 하스웰을 비롯한 새로운 아키텍처에서는 영향이 없습니다. 더 자세한 정보는 https://www.openssl.org/news/vulnerabilities.html#2016-0702에서 볼 수 있습니다.
Commits:
- [
1ab6653db9] - build: update Node.js logo on OSX installer (Rod Vagg) #5401 - [
fcc64792ae] - child_process: guard against race condition (Rich Trott) #5153 - [
6c468df9af] - child_process: fix data loss with readable event (Brian White) #5037 - [
61a22019c2] - deps: upgrade openssl to 1.0.1s (Ben Noordhuis) #5509 - [
fa26b13df7] - deps: update to http-parser 2.3.2 (James M Snell) #5241 - [
46c8e2165f] - deps: backport 1f8555 from v8’s upstream (Trevor Norris) #3945 - [
ce58c2c31a] - doc: remove SSLv2 descriptions (Shigeki Ohtsu) #5541 - [
018e4e0b1a] - domains: fix handling of uncaught exceptions (Julien Gilli) #3885 - [
d421e85dc9] - lib: fix cluster handle leak (Rich Trott) #5152 - [
3a48f0022f] - node: fix leaking Context handle (Trevor Norris) #3945 - [
28dddabf6a] - src: fix build error without OpenSSL support (Jörg Krause) #4201 - [
a79baf03cd] - src: use global SealHandleScope (Trevor Norris) #3945 - [
be39f30447] - test: add test-domain-exit-dispose-again back (Julien Gilli) #4278 - [
da66166b9a] - test: fix test-domain-exit-dispose-again (Julien Gilli) #3991
Windows 32-bit Installer: https://nodejs.org/dist/v0.12.11/node-v0.12.11-x86.msi
Windows 64-bit Installer: https://nodejs.org/dist/v0.12.11/x64/node-v0.12.11-x64.msi
Windows 32-bit Binary: https://nodejs.org/dist/v0.12.11/node.exe
Windows 64-bit Binary: https://nodejs.org/dist/v0.12.11/x64/node.exe
Mac OS X Universal Installer: https://nodejs.org/dist/v0.12.11/node-v0.12.11.pkg
Mac OS X 64-bit Binary: https://nodejs.org/dist/v0.12.11/node-v0.12.11-darwin-x64.tar.gz
Mac OS X 32-bit Binary: https://nodejs.org/dist/v0.12.11/node-v0.12.11-darwin-x86.tar.gz
Linux 32-bit Binary: https://nodejs.org/dist/v0.12.11/node-v0.12.11-linux-x86.tar.gz
Linux 64-bit Binary: https://nodejs.org/dist/v0.12.11/node-v0.12.11-linux-x64.tar.gz
SunOS 32-bit Binary: https://nodejs.org/dist/v0.12.11/node-v0.12.11-sunos-x86.tar.gz
SunOS 64-bit Binary: https://nodejs.org/dist/v0.12.11/node-v0.12.11-sunos-x64.tar.gz
Source Code: https://nodejs.org/dist/v0.12.11/node-v0.12.11.tar.gz
Other release files: https://nodejs.org/dist/v0.12.11/
Documentation: https://nodejs.org/docs/v0.12.11/api/
Shasums (GPG signing hash: SHA512, file hash: SHA256):
1 | -----BEGIN PGP SIGNED MESSAGE----- |
