Rocky Linux 9nodejs 和 nodejs-nodemon (RLSA-2023:2655)
high Nessus 插件 ID 176395
语言：
简介
远程 Rocky Linux 主机缺少一个或多个安全更新。描述
远程 Rocky Linux 9 主机上存在安装的程序包该程序包受到公告 RLSA-2023:2655 中提及的多个漏洞的影响。- 这会影响 4.1.1 之前版本的程序包 http-cache-semantics。如果服务器使用此库从请求中读取缓存策略，攻击者则可以通过向该服务器发送恶意请求标头来利用此问题。(CVE-2022-25881)
- 在 c-ares 程序包中发现一个缺陷。ares_set_sortlist 缺少关于输入字符串有效性的检查，这可能允许任意长度的堆栈溢出。此问题可能导致拒绝服务，或对机密性和完整性造成有限的影响。(CVE-2022-4904)
- Node.js <19.6.1、<18.14.1、<16.19.1 和 <14.21.3 版存在权限提升漏洞，攻击者可利用此漏洞绕过 Node.js 中的实验性权限 (https://nodejs.org/api/permissions.html) 功能，并使用 process.mainModule.require() 访问非授权模块。这仅影响已通过 --experimental-policy 启用实验性权限选项的用户。(CVE-2023-23918)
- 低於 19.6.1、18.14.1、16.19.1、14.21.3 的 Node.js 版本中存在不受信任的搜索路径漏洞，攻击者可藉此在以提升的权限运行时進行搜索并可能加载 ICU 数据。
(CVE-2023-23920)
- Undici 是 Node.js 的 HTTP/1.1 客户端。2.0.0 至 5.19.1 版的 undici 库未保护“host”HTTP 标头免受 CRLF 注入漏洞影响。Undici v5.19.1 中已修补此问题。变通方案是，审查“headers.host”字符串后再传递给 undici。
(CVE-2023-23936)
- Undici 是 Node.js 的 HTTP/1.1 客户端。在低于 5.19.1 的版本中，当不受信任的值传递到函数中时，“Headers.set()”和“Headers.append()”方法容易受到正则表达式拒绝服务 (ReDoS) 攻击。这是由于用于对“headerValueNormalize()”实用工具函数中的值进行规范化的正则表达式效率低下。v5.19.1 中已修补此漏洞。目前没有已知的变通方案。(CVE-2023-24807)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的程序包。另见
https://errata.rockylinux.org/RLSA-2023:2655
https://bugzilla.redhat.com/show_bug.cgi?id=2165824
https://bugzilla.redhat.com/show_bug.cgi?id=2168631
https://bugzilla.redhat.com/show_bug.cgi?id=2171935
https://bugzilla.redhat.com/show_bug.cgi?id=2172190
https://bugzilla.redhat.com/show_bug.cgi?id=2172204
插件详情
严重性: High
ID: 176395
文件名: rocky_linux_RLSA-2023-2655.nasl
版本: 1.1
类型: local
发布时间: 2023/5/25
最近更新时间: 2023/5/25
支持的传感器: Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.5
CVSS v2
风险因素: High
基本分数: 9
时间分数: 7
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:C
CVSS 分数来源: CVE-2022-4904
CVSS v3
风险因素: High
基本分数: 8.6
时间分数: 7.7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:rocky:linux:nodejs-docs, p-cpe:/a:rocky:linux:nodejs-libs-debuginfo, p-cpe:/a:rocky:linux:nodejs, p-cpe:/a:rocky:linux:nodejs-nodemon, p-cpe:/a:rocky:linux:nodejs-full-i18n, p-cpe:/a:rocky:linux:nodejs-libs, p-cpe:/a:rocky:linux:nodejs-debugsource, cpe:/o:rocky:linux:9, p-cpe:/a:rocky:linux:npm, p-cpe:/a:rocky:linux:nodejs-debuginfo
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/RockyLinux/release, Host/RockyLinux/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2023/5/25
漏洞发布日期: 2023/1/31
参考资料信息
CVE: CVE-2022-25881, CVE-2022-4904, CVE-2023-23918, CVE-2023-23920, CVE-2023-23936, CVE-2023-24807