Node.jsエージェントのリリース情報 2023年

CVE-2023-45857に対してAxiosを更新しました。

各コンポーネントで単独のイベントエミッターを使用するようにしました。

koa-multerをAssessのデータフローソースとして実装しました。

レスポンスをスキャンするルールをさらに追加しました。

/tracesデータがContrastサーバに送信される際に、新しいstandardNormalizedUriフィールドが正しく設定されるようになりました。

暗号化関連のAssessルール(安全ではないハッシュアルゴリズム、安全ではない暗号化アルゴリズム、脆弱な乱数生成)を実装しました。

バージョン5でejs.Template.prototype.generateSource のプロパゲータを実装しました。

バージョン5のエージェントでテレメトリが報告されるようになりました。テレメトリを無効にする設定は遵守されます。

「TypeError: Cannot read properties of undefined (reading 'path')」のエラーを修正しました。(NODE-3292)

ProtectのNoSQLインジェクションの報告を修正しました。(NODE-3216)

util.formatのプロパゲータを実装しました。

信頼できないデータのデシリアライゼーションルールのサポートを追加しました。

QueryBuilder サブクラスに、 sql-encodedプロパゲータとしてパッチを当てた関連メソッドが含まれるようになりました。

以下のプロパゲータを実装しました。

いくつかのエスケープメソッドに対してプロパゲータを実装しました。

リクエストレスポンスの測定値をDEBUGレベルでログに出力するようにしました。

Distrolessコンテナを使用しているアプリケーションがアプリケーション/エージェントによってクラッシュし、ログにも出力されない、という問題を修正しました。(NODE-3225)

アプリケーションの起動で、Contrast Webインターフェイスからのサーバ設定値がエージェントの有効な設定値として使用されていなかった問題を修正しました。 (NODE-3243)

バージョン5での「X-XSS-Protectionが無効なレスポンス」(xxssprotecttion-header-disabled)ルールにおけるContrastサーバからの報告の問題を修正しました。

JSON.parseプロパゲータがNULLまたは空の文字列で呼び出されると、trackerのエラーが発生していました。 (NODE-3230)

path.relativeのプロパゲータを実装しました。

path.dirnameのプロパゲータを実装しました。

AssessのXML外部実体参照(XXE)ルールのサポートを追加しました。

Koaアプリケーションで、ルート検出が2回報告される問題を修正しました。(NODE-3199)

AssessまたはProtectがローカルで有効にされていない場合に、アプリケーションがオンボードできない問題を修正しました。(NODE-3221)

Docker版のjuice-shopでnpmが見つからない場合に実行に失敗する問題を修正しました。 (NODE-3223)

Contrastの通信のトラブルシューティングのためにログ出力を改善しました。

ヒープダンプのスナップショットをキャプチャするためのより分かりやすい仕組みを実装しました。

juice-shopの検出結果をエージェントが誤って報告していた箇所を修正しました。

serverTypeパスパラメータの構築時にv1エンドポイントが設定オプションを受け入れるようにしました。

JoiのBoolean値および数値の型強制メソッドの計測を実装しました。

Joiのvaluesメソッド(.allow()、.valid()、.equal())の計測を実装しました。

Joiのタイプ(object、expression、any)の計測を実装しました。

evalシンクのコンテキストがeval(...)として報告されるようにして、Contrastメソッドのテキストが含まれないようにしました。

追跡を行う全ての呼び出しの前で、イベントが正常に作成されたかどうかをチェックするようにしました。

エージェントの有効な設定が一度しか更新されていなかった問題を修正しました。(NODE-3204)

Assess実行時のメモリリークに関連する問題を修正しました。(NODE-3198)

エージェントの有効な設定でローカルポリシーを管理するために、全てのコンポーネントを更新しました。

全ての文字列操作とArray.prototype.joinメソッドの使用をリファクタリングしました。

ファイルが安全な方法でserve-staticを使用して提供される場合に、エージェントがパストラバーサルを報告していませんでした。(NODE-3157)

Node.js 20.5.0以降のサポートを追加しました。

express-sessionのセッション設定ルールを実装しました。

URLSearchParamsに渡されるキーを追跡して、異なるオブジェクトタイプを解析するようにしました。

require-hookのログ出力を改善しました。

Contrastサービス(SpeedRacer)の削除

エージェントを設定するためのコマンドラインオプションの削除。Python、Ruby、Goエージェントに合わせて、YAMLと環境変数のみをサポート。

Contrast AssessとContrast Protectの同時実行のサポート

Contrast Protect実行時のライブラリの使用状況(ECU/ELU)に関する報告(本番環境でのライブラリの報告)

Contrastサーバへの有効な設定の報告

devDependenciesをnpmに公開しない - CVE検出の過検知の減少

pinoを使用した構造化ログ

重複排除のために正規化されたURIを使用したルート観測/カバレッジ

SWC使用した起動時のリライタの高速化

SuperTest npm: supertestを使用するAPIテスト時の脆弱性検出のサポート

String.prototype.matchAll()のプロパゲータのサポート(バージョン4では未サポート)

CVE-2023-45857に対してAxiosを更新しました。

各コンポーネントで単独のイベントエミッターを使用するようにしました。

セキュリティのログ出力でpath: /dev/nullに対応し、サポート対象の全てのオペレーティングシステムでログを無効にできるようになりました。

バージョン5のエージェントでテレメトリが報告されるようになりました。テレメトリを無効にする設定は遵守されます。

「TypeError: Cannot read properties of undefined (reading 'path')」のエラーを修正しました。(NODE-3292)

ProtectのNoSQLインジェクションの報告を修正しました。(NODE-3216)

vmモジュールでのエージェントの組込みを修正しました。 (NODE-3004)

リクエストレスポンスの測定値をDEBUGレベルでログに出力するようにしました。

Distrolessコンテナを使用しているアプリケーションがアプリケーション/エージェントによってクラッシュし、ログにも出力されない、という問題を修正しました。(NODE-3225)

アプリケーションの起動で、Contrast Webインターフェイスからのサーバ設定値がエージェントの有効な設定値として使用されていなかった問題を修正しました。 (NODE-3243)

再起動の必要なく、ContrastサーバでProtectポリシーとログレベルを変更できるようにしました。

ログ出力の使用を監査し、PIIのログを記録しているインスタンスを修正しました。

AssessとProtectの実装が異なる場合の同期。

Contrastサーバの通信にHTTPログを追加。

ContrastMethods.Functionを組み込み、既存のProtect入力追跡パッチをサポートするようリライタを更新しました。(NODE-3100)

effective-configエンドポイントに関するエージェントバージョン5の問題を修正しました。(NODE-3151)

JSON.parseにプロパゲータを実装しました。

セッション設定に関連するAssess仕様のルールを実装しました。

libxmljsライブラリの新しいメジャーバージョン(v 1.x.x.)のサポートを追加しました。このライブラリは、XML外部実体参照(XXE)の脆弱性を検出するために組み込まれます。

libxmljsが適切に組み込まれていなかった問題を修正しました。(NODE-3121)

末尾に誤った文字を追加しないようにリライタを修正しました。

shebangコメントのあるファイルを変換できるようswcリライタを改善しました。

MongoDBのコンテキストでsleep(x)のような呼び出しのSSJSの攻撃を検出するように対応しました。

有効な設定オプションにsession_idを追加しました。

Added support for the MS SQL database driver for v5 Protect-only agent.

Added support for detecting nosql-injection attacks for MarsDB in Protect mode.

Fixed a bug when receiving the nosql-injection rule settings from Contrast and the agent not respecting that setting.

security_logger receives the correct default values.

NoSQL Injection Mongo - added support for $accumulator operator.

The RegExp now detects a vulnerable string with single and double quotes around the URI of the targeted file.

Bumped agent-lib version in Node agent v5 to v5.3.0.

NoSQL Injection Mongo - added support for $function operator.

Migrated shared hooks to instrumentation layer: http, https, http2, spdy.

Reduced code duplication in existing Protect hooks.

CVE-2022-46175 node-require-hook Prototype Pollution in JSON5 via Parse Method.

NODE_OPTIONS envrionment for pino worker-thread does not get cleared of --require @contrast/.... (NODE-2882)

Provided npx command to config-diagnostics and output results.

Fixed issue where @contrast/protect-agent does not install. (NODE-2803)

CVE-2022-46175 Prototype Pollution in JSON5 via Parse Method.

Internal Protect data structure changes.

Performance improvement for capturing stack traces. (NODE 2760)

Contrast Security Node.js Protect-only Agent.See npm: @contrast/protect-agent