远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021: 3666 公告中提及的多个漏洞影响。

  - nodejs：取消流时关闭 http2 时出现释放后使用（CVE-2021-22930、CVE-2021-22940）

  - nodejs：未正确处理域名中的非典型字符 (CVE-2021-22931)

  - nodejs：未完整验证 tls rejectUnauthorized 参数 (CVE-2021-22939)

  - nodejs-path-parse：通过 splitDeviceRe、splitTailRe 和 splitPathRe 造成的 ReDoS (CVE-2021-23343)

  - nodejs-tar：不充分的符号链接保护允许创建和覆盖任意文件 (CVE-2021-32803)

  - nodejs-tar：不充分的绝对路径审查允许创建和覆盖任意文件 (CVE-2021-32804)

  - c-ares：缺少主机名输入验证可能导致域劫持 (CVE-2021-3672)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 8：nodejs: 14 (RHSA-2021: 3666)

critical Nessus 插件 ID 153764

版本 1.10