Amazon Linux 2023：nodejs、nodejs-devel、nodejs-full-i18n (ALAS2023-2023-237)
high Nessus 插件 ID 178606
语言：
简介
远程 Amazon Linux 2023 主机缺少安全更新。描述
因此，它受到 ALAS2023-2023-237 公告中提及的多个漏洞影响。- 在 Node v20.2.0 中，http 模块中的 llhttp 解析器未严格使用 CRLF 序列来分隔 HTTP 请求。这可导致 HTTP 请求走私 (HRS) 攻击。CR 字符（无 LF）完全可以在 llhttp 解析器中分隔 HTTP 标头字段。根据 RFC7230 第 3 部分，只应使用 CRLF 序列分隔每个标头字段。此漏洞会影响所有可用的 Node.js 版本：v16、v18 和 v20 (CVE-2023-30589)
- ## 2023-06-20，版本 18.16.1 “Hydrogen”(LTS)，@RafaelGSS 这是安全版本。### 重要变更 此版本已修复下列 CVE：* [CVE-2023-30581](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30581)：`mainModule.__proto__` 绕过实验策略机制（高危）* [CVE-2023-30585](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30585)：在 Node.js 安装程序修复过程中，通过恶意注册表项操控造成权限提升（中危） * [CVE-2023-30588](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30588)：x509 证书中无效的公钥信息会导致进程中断（中危）* [CVE-2023-30589](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30589)：通过以 CR 分隔的空标头会导致 HTTP 请求走私（中危）* [CVE-2023-30590](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30590)：设置私钥后，DiffieHellman 不会生成密钥（中危）* OpenSSL 安全版本 * [3 月 28 日 OpenSSL 安全公告](https://www.openssl.org/news/secadv/20230328.txt)。 * [4 月 20 日 OpenSSL 安全公告](https://www.openssl.org/news/secadv/20230420.txt)。 * [5 月 30 日 OpenSSL 安全公告](https://www.openssl.org/news/secadv/20230530.txt) * c-ares 漏洞：* [GHSA-9g78-jv2r-p7vc](https://github.com/c-ares/c-ares/security/advisories/GHSA-9g78-jv2r-p7vc) * [GHSA-8r8p-23f3-64c2](https://github.com/c-ares/c-ares/security/advisories/GHSA-8r8p-23f3-64c2) * [GHSA-54xr-f67r-4pc4](https://github.com/c-ares/c-ares/security/advisories/GHSA-54xr-f67r-4pc4) * [GHSA-x6mf-cxr9- 8q6v](https://github.com/c-ares/c-ares/security/advisories/GHSA-x6mf-cxr9-8q6v) 有关每个漏洞的更多详细信息，请参阅 [2023 年 6 月安全版本](https://nodejs.org/en/blog/vulnerability/june-2023-security-releases/) 博文。
（CVE-2023-30581、CVE-2023-30588、CVE-2023-30590）
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行 'dnf update nodejs --releasever 2023.1.20230719' 以更新系统。另见
https://alas.aws.amazon.com/AL2023/ALAS-2023-237.html
https://alas.aws.amazon.com/cve/html/CVE-2023-30581.html
https://alas.aws.amazon.com/cve/html/CVE-2023-30588.html
https://alas.aws.amazon.com/cve/html/CVE-2023-30589.html
插件详情
严重性: High
ID: 178606
文件名: al2023_ALAS2023-2023-237.nasl
版本: 1.3
类型: local
代理: unix
发布时间: 2023/7/20
最近更新时间: 2024/12/11
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.4
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 6.1
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:N
CVSS 分数来源: CVE-2023-30590
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:amazon:linux:nodejs-full-i18n, p-cpe:/a:amazon:linux:nodejs-devel, p-cpe:/a:amazon:linux:nodejs, p-cpe:/a:amazon:linux:nodejs-debuginfo, p-cpe:/a:amazon:linux:nodejs-libs-debuginfo, p-cpe:/a:amazon:linux:v8-devel, p-cpe:/a:amazon:linux:nodejs-docs, p-cpe:/a:amazon:linux:npm, p-cpe:/a:amazon:linux:nodejs-debugsource, p-cpe:/a:amazon:linux:nodejs-libs, cpe:/o:amazon:linux:2023
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2023/7/5
漏洞发布日期: 2023/6/29
参考资料信息
CVE: CVE-2023-30581, CVE-2023-30588, CVE-2023-30589, CVE-2023-30590