NewStart CGSL CORE 5.04 / MAIN 5.04：http-parser 多个漏洞 (NS-SA-2019-0208)

medium Nessus 插件 ID 129916

语言：

简介

远程机器受到多个漏洞影响。

描述

运行版本 CORE 5.04 / MAIN 5.04 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 http-parser 程序包：- 所有 Node.js 的当前版本中的 HTTP 解析器忽略“内容长度”标头中的空格，允许将例如“内容长度：1 2”的输入解释为值“12”。HTTP 规范在“内容长度”值中不允许空格，Node.js HTTP 解析器专门用于统一该差异。此缺陷对 Node.js 用户的安全风险极低，因为几乎难以或不可能实施攻击，通过提供错误的“内容长度”值这种方式尚无法实现对此缺陷的利用。与提供的数据的实际长度相比，对此值的可能准确性做出错误假设的用户代码中可能存在漏洞。建议利用低级 HTTP 实用工具的 Node.js 用户重新检查解析完成后提供的任何输入的长度。(CVE-2018-7159) - Node.js：Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：具有大型 HTTP 标头拒绝服务：通过使用具有最大尺寸标头（每个连接约 80 KB）的许多请求和仔细计算完成时间的标头，有可能造成 HTTP 服务器因堆分配故障而中止。使用负载均衡器或其他代理层可缓解潜在攻击。(CVE-2018-12121) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。