製品・ソフトウェアに関する情報

JVN脆弱性詳細

Node.js で使用される npm の CLI における重要な情報を取得される脆弱性

Title	Node.js で使用される npm の CLI における重要な情報を取得される脆弱性
Summary	Node.js で使用される npm の CLI は、任意のリクエストにベアラ (bearer) トークンを含めるため、重要な情報を取得される脆弱性が存在します。
Possible impacts	リモートの HTTP サーバにより、Authorization ヘッダを読まれることで、重要な情報を取得される可能性があります。
Solution	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date	March 31, 2016, midnight
Registration Date	July 12, 2016, 10:08 a.m.
Last Update	July 12, 2016, 10:08 a.m.

CVSS3.0 : 重要
Score	7.5
Vector	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CVSS2.0 : 警告
Score	5
Vector	AV:N/AC:L/Au:N/C:P/I:N/A:N

Affected System

IBM

IBM SDK for Node.js 1.1.0.20 およびそれ以前

IBM SDK for Node.js 1.2.0.10 およびそれ以前

IBM SDK for Node.js 4.4.1.0 およびそれ以前

Node.js Foundation

Node.js 0.10.44 未満の 0.10

Node.js 0.12.13 未満の 0.12

Node.js 4.4.2 未満の 4

Node.js 5.10.0 未満の 5

npm, Inc.

npm 2.15.1 未満

npm 3.8.3 未満の 3.x

CVE (情報セキュリティ共通脆弱性識別子)

No	Name	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2016-3956	http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-3956
National Vulnerability Database (NVD)
2	CVE-2016-3956	http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3956

CWE (共通脆弱性タイプ一覧)

No	Name	URL
JVNDB
1	CWE-200	https://jvndb.jvn.jp/ja/cwe/CWE-200.html

ベンダー情報

No	Name	URL
GitHub
1	config: only send token to registry hosts (f67ecad)	https://github.com/npm/npm/commit/f67ecad59e99a03e5aad8e93cd1a086ae087cb29
2	config: only send token to registry hosts (fea8cc9)	https://github.com/npm/npm/commit/fea8cc92cee02c720b58f95f14d315507ccad401
3	npm uses auth token from registry on http[s]:// dependencies, breaking BitBucket URLs #8380	https://github.com/npm/npm/issues/8380
IBM Support Document
4	1980827	http://www-01.ibm.com/support/docview.wss?uid=swg21980827
Node.js Foundation
5	npm security updates v2.15.1 and v3.8.3	https://nodejs.org/en/blog/vulnerability/npm-tokens-leak-march-2016/
The npm Blog
6	fixing a bearer token vulnerability	http://blog.npmjs.org/post/142036323955/fixing-a-bearer-token-vulnerability

Change Log

No	Changed Details	Date of change
0	[2016年07月12日] 掲載	Feb. 17, 2018, 10:37 a.m.

NVD Vulnerability Information

CVE-2016-3956

Summary	The CLI in npm before 2.15.1 and 3.x before 3.8.3, as used in Node.js 0.10 before 0.10.44, 0.12 before 0.12.13, 4 before 4.4.2, and 5 before 5.10.0, includes bearer tokens with arbitrary requests, which allows remote HTTP servers to obtain sensitive information by reading Authorization headers.
Publication Date	July 2, 2016, 11:59 p.m.
Registration Date	Jan. 26, 2021, 2:11 p.m.
Last Update	Nov. 21, 2024, 11:51 a.m.

Affected software configurations

Configuration1	or higher	or less	more than	less than
cpe:2.3:a:ibm:sdk::::::nodejs::*		4.4.1.0
cpe:2.3:a:ibm:sdk::::::nodejs::*		1.1.0.20
cpe:2.3:a:ibm:sdk::::::nodejs::*		1.2.0.10

Configuration2	or higher	or less	more than	less than
cpe:2.3:a:nodejs:node.js:0.10.9:::::::*
cpe:2.3:a:nodejs:node.js:4.3.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.11:::::::*
cpe:2.3:a:nodejs:node.js:4.0.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.21:::::::*
cpe:2.3:a:nodejs:node.js:0.10.4:::::::*
cpe:2.3:a:nodejs:node.js:4.3.2:::::::*
cpe:2.3:a:nodejs:node.js:0.12.4:::::::*
cpe:2.3:a:nodejs:node.js:0.10.41:::::::*
cpe:2.3:a:nodejs:node.js:0.10.20:::::::*
cpe:2.3:a:nodejs:node.js:0.10.18:::::::*
cpe:2.3:a:nodejs:node.js:0.10.39:::::::*
cpe:2.3:a:nodejs:node.js:0.10.29:::::::*
cpe:2.3:a:nodejs:node.js:5.2.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.31:::::::*
cpe:2.3:a:nodejs:node.js:4.3.1:rc.1::::::
cpe:2.3:a:nodejs:node.js:0.10.2:::::::*
cpe:2.3:a:nodejs:node.js:4.3.1:::::::*
cpe:2.3:a:nodejs:node.js:5.5.0:::::::*
cpe:2.3:a:nodejs:node.js:5.9.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.30:::::::*
cpe:2.3:a:nodejs:node.js:0.12.7:::::::*
cpe:2.3:a:nodejs:node.js:0.10.25:::::::*
cpe:2.3:a:nodejs:node.js:0.10.14:::::::*
cpe:2.3:a:nodejs:node.js:4.1.1:::::::*
cpe:2.3:a:nodejs:node.js:4.2.3:::::::*
cpe:2.3:a:nodejs:node.js:5.4.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.24:::::::*
cpe:2.3:a:nodejs:node.js:0.10.36:::::::*
cpe:2.3:a:nodejs:node.js:0.10.5:::::::*
cpe:2.3:a:nodejs:node.js:0.10.15:::::::*
cpe:2.3:a:nodejs:node.js:0.12.1:::::::*
cpe:2.3:a:nodejs:node.js:5.6.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.32:::::::*
cpe:2.3:a:nodejs:node.js:0.10.35:::::::*
cpe:2.3:a:nodejs:node.js:0.12.2:::::::*
cpe:2.3:a:nodejs:node.js:0.10.40:::::::*
cpe:2.3:a:nodejs:node.js:4.2.4:::::::*
cpe:2.3:a:nodejs:node.js:0.10.16:::::::*
cpe:2.3:a:nodejs:node.js:4.2.5:::::::*
cpe:2.3:a:nodejs:node.js:0.10.38:::::::*
cpe:2.3:a:nodejs:node.js:5.8.0:::::::*
cpe:2.3:a:nodejs:node.js:5.7.0:::::::*
cpe:2.3:a:nodejs:node.js:4.1.2:::::::*
cpe:2.3:a:nodejs:node.js:0.10.19:::::::*
cpe:2.3:a:nodejs:node.js:0.10.27:::::::*
cpe:2.3:a:nodejs:node.js:0.10.7:::::::*
cpe:2.3:a:nodejs:node.js:4.4.0:rc.3::::::
cpe:2.3:a:nodejs:node.js:4.2.1:::::::*
cpe:2.3:a:nodejs:node.js:5.1.1:::::::*
cpe:2.3:a:nodejs:node.js:0.12.5:::::::*
cpe:2.3:a:nodejs:node.js:0.10.10:::::::*
cpe:2.3:a:nodejs:node.js:0.10.26:::::::*
cpe:2.3:a:nodejs:node.js:5.8.1:rc.1::::::
cpe:2.3:a:nodejs:node.js:5.9.1:::::::*
cpe:2.3:a:nodejs:node.js:0.12.8:::::::*
cpe:2.3:a:nodejs:node.js:0.10.17:::::::*
cpe:2.3:a:nodejs:node.js:4.2.6:::::::*
cpe:2.3:a:nodejs:node.js:0.10.13:::::::*
cpe:2.3:a:nodejs:node.js:5.1.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.6:::::::*
cpe:2.3:a:nodejs:node.js:0.10.8:::::::*
cpe:2.3:a:nodejs:node.js:0.12.9:::::::*
cpe:2.3:a:nodejs:node.js:0.10.37:::::::*
cpe:2.3:a:nodejs:node.js:4.4.0:rc.2::::::
cpe:2.3:a:nodejs:node.js:0.12.6:::::::*
cpe:2.3:a:nodejs:node.js:0.10.12:::::::*
cpe:2.3:a:nodejs:node.js:0.10.28:::::::*
cpe:2.3:a:nodejs:node.js:0.10.34:::::::*
cpe:2.3:a:nodejs:node.js:5.7.1:::::::*
cpe:2.3:a:nodejs:node.js:0.12.3:::::::*
cpe:2.3:a:nodejs:node.js:0.10.1:::::::*
cpe:2.3:a:nodejs:node.js:4.4.0:::::::*
cpe:2.3:a:nodejs:node.js:4.2.2:::::::*
cpe:2.3:a:nodejs:node.js:4.4.0:rc.1::::::
cpe:2.3:a:nodejs:node.js:5.0.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.33:::::::*
cpe:2.3:a:nodejs:node.js:4.1.0:::::::*
cpe:2.3:a:nodejs:node.js:4.4.1:::::::*
cpe:2.3:a:nodejs:node.js:4.3.1:rc.2::::::
cpe:2.3:a:nodejs:node.js:0.10.3:::::::*
cpe:2.3:a:nodejs:node.js:0.10.22:::::::*
cpe:2.3:a:nodejs:node.js:0.10.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.16-isaacs-manual:::::::*
cpe:2.3:a:nodejs:node.js:4.4.0:rc.4::::::
cpe:2.3:a:nodejs:node.js:0.12.0:::::::*
cpe:2.3:a:nodejs:node.js:5.4.1:::::::*
cpe:2.3:a:nodejs:node.js:4.2.0:::::::*
cpe:2.3:a:nodejs:node.js:5.3.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.23:::::::*

Configuration3	or higher	or less	more than	less than
cpe:2.3:a:npmjs:npm::::::::	3.0.0			3.8.3
cpe:2.3:a:npmjs:npm::::::::				2.15.1

Related information, measures and tools

No	URL	タグ
1	http://blog.npmjs.org/post/142036323955/fixing-a-bearer-token-vulnerability	Vendor Advisory
2	http://blog.npmjs.org/post/142036323955/fixing-a-bearer-token-vulnerability	Vendor Advisory
3	http://www-01.ibm.com/support/docview.wss?uid=swg21980827	Vendor Advisory
4	http://www-01.ibm.com/support/docview.wss?uid=swg21980827	Vendor Advisory
5	https://github.com/npm/npm/commit/f67ecad59e99a03e5aad8e93cd1a086ae087cb29	Patch Third Party Advisory
6	https://github.com/npm/npm/commit/f67ecad59e99a03e5aad8e93cd1a086ae087cb29	Patch Third Party Advisory
7	https://github.com/npm/npm/commit/fea8cc92cee02c720b58f95f14d315507ccad401	Patch Third Party Advisory
8	https://github.com/npm/npm/commit/fea8cc92cee02c720b58f95f14d315507ccad401	Patch Third Party Advisory
9	https://github.com/npm/npm/issues/8380	Third Party Advisory
10	https://github.com/npm/npm/issues/8380	Third Party Advisory
11	https://nodejs.org/en/blog/vulnerability/npm-tokens-leak-march-2016/	Vendor Advisory
12	https://nodejs.org/en/blog/vulnerability/npm-tokens-leak-march-2016/	Vendor Advisory

Common Vulnerabilities List

Configuration2	or higher	or less	more than	less than
cpe:2.3:a:nodejs:node.js:0.10.9:::::::*
cpe:2.3:a:nodejs:node.js:4.3.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.11:::::::*
cpe:2.3:a:nodejs:node.js:4.0.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.21:::::::*
cpe:2.3:a:nodejs:node.js:0.10.4:::::::*
cpe:2.3:a:nodejs:node.js:4.3.2:::::::*
cpe:2.3:a:nodejs:node.js:0.12.4:::::::*
cpe:2.3:a:nodejs:node.js:0.10.41:::::::*
cpe:2.3:a:nodejs:node.js:0.10.20:::::::*
cpe:2.3:a:nodejs:node.js:0.10.18:::::::*
cpe:2.3:a:nodejs:node.js:0.10.39:::::::*
cpe:2.3:a:nodejs:node.js:0.10.29:::::::*
cpe:2.3:a:nodejs:node.js:5.2.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.31:::::::*
cpe:2.3:a:nodejs:node.js:4.3.1:rc.1::::::
cpe:2.3:a:nodejs:node.js:0.10.2:::::::*
cpe:2.3:a:nodejs:node.js:4.3.1:::::::*
cpe:2.3:a:nodejs:node.js:5.5.0:::::::*
cpe:2.3:a:nodejs:node.js:5.9.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.30:::::::*
cpe:2.3:a:nodejs:node.js:0.12.7:::::::*
cpe:2.3:a:nodejs:node.js:0.10.25:::::::*
cpe:2.3:a:nodejs:node.js:0.10.14:::::::*
cpe:2.3:a:nodejs:node.js:4.1.1:::::::*
cpe:2.3:a:nodejs:node.js:4.2.3:::::::*
cpe:2.3:a:nodejs:node.js:5.4.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.24:::::::*
cpe:2.3:a:nodejs:node.js:0.10.36:::::::*
cpe:2.3:a:nodejs:node.js:0.10.5:::::::*
cpe:2.3:a:nodejs:node.js:0.10.15:::::::*
cpe:2.3:a:nodejs:node.js:0.12.1:::::::*
cpe:2.3:a:nodejs:node.js:5.6.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.32:::::::*
cpe:2.3:a:nodejs:node.js:0.10.35:::::::*
cpe:2.3:a:nodejs:node.js:0.12.2:::::::*
cpe:2.3:a:nodejs:node.js:0.10.40:::::::*
cpe:2.3:a:nodejs:node.js:4.2.4:::::::*
cpe:2.3:a:nodejs:node.js:0.10.16:::::::*
cpe:2.3:a:nodejs:node.js:4.2.5:::::::*
cpe:2.3:a:nodejs:node.js:0.10.38:::::::*
cpe:2.3:a:nodejs:node.js:5.8.0:::::::*
cpe:2.3:a:nodejs:node.js:5.7.0:::::::*
cpe:2.3:a:nodejs:node.js:4.1.2:::::::*
cpe:2.3:a:nodejs:node.js:0.10.19:::::::*
cpe:2.3:a:nodejs:node.js:0.10.27:::::::*
cpe:2.3:a:nodejs:node.js:0.10.7:::::::*
cpe:2.3:a:nodejs:node.js:4.4.0:rc.3::::::
cpe:2.3:a:nodejs:node.js:4.2.1:::::::*
cpe:2.3:a:nodejs:node.js:5.1.1:::::::*
cpe:2.3:a:nodejs:node.js:0.12.5:::::::*
cpe:2.3:a:nodejs:node.js:0.10.10:::::::*
cpe:2.3:a:nodejs:node.js:0.10.26:::::::*
cpe:2.3:a:nodejs:node.js:5.8.1:rc.1::::::
cpe:2.3:a:nodejs:node.js:5.9.1:::::::*
cpe:2.3:a:nodejs:node.js:0.12.8:::::::*
cpe:2.3:a:nodejs:node.js:0.10.17:::::::*
cpe:2.3:a:nodejs:node.js:4.2.6:::::::*
cpe:2.3:a:nodejs:node.js:0.10.13:::::::*
cpe:2.3:a:nodejs:node.js:5.1.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.6:::::::*
cpe:2.3:a:nodejs:node.js:0.10.8:::::::*
cpe:2.3:a:nodejs:node.js:0.12.9:::::::*
cpe:2.3:a:nodejs:node.js:0.10.37:::::::*
cpe:2.3:a:nodejs:node.js:4.4.0:rc.2::::::
cpe:2.3:a:nodejs:node.js:0.12.6:::::::*
cpe:2.3:a:nodejs:node.js:0.10.12:::::::*
cpe:2.3:a:nodejs:node.js:0.10.28:::::::*
cpe:2.3:a:nodejs:node.js:0.10.34:::::::*
cpe:2.3:a:nodejs:node.js:5.7.1:::::::*
cpe:2.3:a:nodejs:node.js:0.12.3:::::::*
cpe:2.3:a:nodejs:node.js:0.10.1:::::::*
cpe:2.3:a:nodejs:node.js:4.4.0:::::::*
cpe:2.3:a:nodejs:node.js:4.2.2:::::::*
cpe:2.3:a:nodejs:node.js:4.4.0:rc.1::::::
cpe:2.3:a:nodejs:node.js:5.0.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.33:::::::*
cpe:2.3:a:nodejs:node.js:4.1.0:::::::*
cpe:2.3:a:nodejs:node.js:4.4.1:::::::*
cpe:2.3:a:nodejs:node.js:4.3.1:rc.2::::::
cpe:2.3:a:nodejs:node.js:0.10.3:::::::*
cpe:2.3:a:nodejs:node.js:0.10.22:::::::*
cpe:2.3:a:nodejs:node.js:0.10.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.16-isaacs-manual:::::::*
cpe:2.3:a:nodejs:node.js:4.4.0:rc.4::::::
cpe:2.3:a:nodejs:node.js:0.12.0:::::::*
cpe:2.3:a:nodejs:node.js:5.4.1:::::::*
cpe:2.3:a:nodejs:node.js:4.2.0:::::::*
cpe:2.3:a:nodejs:node.js:5.3.0:::::::*
cpe:2.3:a:nodejs:node.js:0.10.23:::::::*