远程 Oracle Linux 8 主机上安装的多个程序包受到 ELSA-2022-7830 公告中提及的多个漏洞影响。

  - nodejs：标头字段解析错误导致 HTTP 请求走私漏洞 (CVE-2022-35256)

  - Node.js < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 的版本会将 SAN（使用者备用名称）转换为字符串格式。验证连接时，它会使用此字符串对照主机名检查对等证书。字符串格式会在证书链中使用名称限制时受到注入漏洞影响，从而允许攻击者绕过这些名称限制。Node.js 版本已修复此包含有问题的字符的转义 SAN，用以防止注入攻击。此行为可通过 --security-revert 命令行选项恢复。 (CVE-2021-44532)

  - 接受任意使用者备用名称 (SAN) 类型（除非专门定义 PKI 以使用特定 SAN 类型）可导致绕过限制名称的中间体。Node.js  < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 的版本接受通常不会定义使用 PKI 的 URI SAN 类型。
    此外，当协议允许 URI SAN 时，Node.js 未正确匹配 URI。具有此补丁的 Node.js 版本会在针对主机名检查证书时禁用 URI SAN 类型。此行为可通过 --security-revert 命令行选项恢复。 (CVE-2021-44531)

  - Node.js  < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 未正确处理多值相对可分辨名。例如，攻击者可构建包含解释为多值相对可分辨名的单值相对可分辨名的证书主题，以便注入允许绕过证书主题验证的通用名称。受影响的 Node.js 版本不接受多值相对可分辨名，因此本身不易受到此类攻击。但是，使用节点的有歧义证书主题演示的第三方代码可能容易受到攻击。 (CVE-2021-44533)

  - 由于 console.table() 函数的格式化逻辑，允许将用户控制的输入传递给属性参数，同时传递一个具有至少一个属性的普通对象作为第一个参数（可能是 __proto__）是不安全的。原型污染的控制权非常有限，因为它只允许将空字符串分配给对象原型的数字键。Node.js >= 12.22.9、>= 14.18.3、>= 16.13.2 和 >= 17.3.1 的版本对已获分配这些属性的对象使用空原型。(CVE-2022-21824)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

检测

Oracle Linux 8：nodejs: 14 (ELSA-2022-7830)

high Nessus 插件 ID 167552

版本 1.2