远程 Oracle Linux 9 主机上安装的程序包受到 ELSA-2023-4330 公告中提及的多个漏洞的影响。

  - ## 2023-06-20，版本 16.20.1 'Gallium' (LTS)，@RafaelGSS 这是安全版本。### 重要变更 此版本已修复下列 CVE：* [CVE-2023-30581](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30581)：`mainModule.__proto__` 绕过实验策略机制（高危）* [CVE-2023-30585](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30585)：在 Node.js 安装程序修复过程中，通过恶意注册表项操控造成权限提升（中危） * [CVE-2023-30588](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30588)：x509 证书中无效的公钥信息会导致进程中断（中危）* [CVE-2023-30589](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30589)：通过以 CR 分隔的空标头会导致 HTTP 请求走私（中危）* [CVE-2023-30590](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30590)：设置私钥后，DiffieHellman 不会生成密钥（中危）* OpenSSL 安全版本 * [3 月 28 日 OpenSSL 安全公告](https://www.openssl.org/news/secadv/20230328.txt)。 * [4 月 20 日 OpenSSL 安全公告](https://www.openssl.org/news/secadv/20230420.txt)。 * [5 月 30 日 OpenSSL 安全公告](https://www.openssl.org/news/secadv/20230530.txt) * c-ares 漏洞：* [GHSA-9g78-jv2r-p7vc](https://github.com/c-ares/c-ares/security/advisories/GHSA-9g78-jv2r-p7vc) * [GHSA-8r8p-23f3-64c2](https://github.com/c-ares/c-ares/security/advisories/GHSA-8r8p-23f3-64c2) * [GHSA-54xr-f67r-4pc4](https://github.com/c-ares/c-ares/security/advisories/GHSA-54xr-f67r-4pc4) * [GHSA-x6mf-cxr9- 8q6v](https://github.com/c-ares/c-ares/security/advisories/GHSA-x6mf-cxr9-8q6v) 有关每个漏洞的更多详细信息，请参阅 [2023 年 6 月安全版本](https://nodejs.org/en/blog/vulnerability/june-2023-security-releases/) 博文。
    （CVE-2023-30581、CVE-2023-30588、CVE-2023-30590）

  - 在 Node v20.2.0 中，http 模块中的 llhttp 解析器未严格使用 CRLF 序列来分隔 HTTP 请求。这可导致 HTTP 请求走私 (HRS) 攻击。CR 字符（无 LF）完全可以在 llhttp 解析器中分隔 HTTP 标头字段。根据 RFC7230 第 3 部分，只应使用 CRLF 序列分隔每个标头字段。此漏洞会影响所有可用的 Node.js 版本：v16、v18 和 v20 (CVE-2023-30589)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Oracle Linux 9：18 (ELSA-2023-4330)

high Nessus 插件 ID 179204

版本 1.7