远程 Debian 10 主机上安装的程序包受到 dla-3344 公告中提及的多个漏洞影响。

  - 低于 14.21.1、16.18.1、18.12.1、19.0.1 的 Node.js 版本中存在操作系统命令注入漏洞，这是因为 IsAllowedHost 检查不充分所致，IsIPAddress 在发出 DBS 请求前未正确检查 IP 地址是否无效，从而导致可轻松绕过该漏洞并允许重新绑定攻击。https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32212 中对此问题的修复不完整，新的 CVE 将完成修复。(CVE-2022-43548)

  - 低於 19.6.1、18.14.1、16.19.1、14.21.3 的 Node.js 版本中存在不受信任的搜索路径漏洞，攻击者可藉此在以提升的权限运行时進行搜索并可能加载 ICU 数据。
    (CVE-2023-23920)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DLA-3344-1：nodejs - LTS 安全更新

high Nessus 插件 ID 171918

版本 1.1