Oracle Linux 8：nodejs: 18 (ELSA-2023-4536)
high Nessus 插件 ID 179861
语言：
简介
远程 Oracle Linux 主机缺少一个或多个安全更新。描述
远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2023-4536 公告中提及的多个漏洞的影响。- ## 2023-06-20，版本 16.20.1 'Gallium' (LTS)，@RafaelGSS 这是安全版本。### 重要变更 此版本已修复下列 CVE：* [CVE-2023-30581](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30581)：`mainModule.__proto__` 绕过实验策略机制（高危）* [CVE-2023-30585](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30585)：在 Node.js 安装程序修复过程中，通过恶意注册表项操控造成权限提升（中危） * [CVE-2023-30588](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30588)：x509 证书中无效的公钥信息会导致进程中断（中危）* [CVE-2023-30589](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30589)：通过以 CR 分隔的空标头会导致 HTTP 请求走私（中危）* [CVE-2023-30590](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-30590)：设置私钥后，DiffieHellman 不会生成密钥（中危）* OpenSSL 安全版本 * [3 月 28 日 OpenSSL 安全公告](https://www.openssl.org/news/secadv/20230328.txt)。 * [4 月 20 日 OpenSSL 安全公告](https://www.openssl.org/news/secadv/20230420.txt)。 * [5 月 30 日 OpenSSL 安全公告](https://www.openssl.org/news/secadv/20230530.txt) * c-ares 漏洞：* [GHSA-9g78-jv2r-p7vc](https://github.com/c-ares/c-ares/security/advisories/GHSA-9g78-jv2r-p7vc) * [GHSA-8r8p-23f3-64c2](https://github.com/c-ares/c-ares/security/advisories/GHSA-8r8p-23f3-64c2) * [GHSA-54xr-f67r-4pc4](https://github.com/c-ares/c-ares/security/advisories/GHSA-54xr-f67r-4pc4) * [GHSA-x6mf-cxr9- 8q6v](https://github.com/c-ares/c-ares/security/advisories/GHSA-x6mf-cxr9-8q6v) 有关每个漏洞的更多详细信息，请参阅 [2023 年 6 月安全版本](https://nodejs.org/en/blog/vulnerability/june-2023-security-releases/) 博文。
（CVE-2023-30581、CVE-2023-30588、CVE-2023-30590）
- 在 Node v20.2.0 中，http 模块中的 llhttp 解析器未严格使用 CRLF 序列来分隔 HTTP 请求。这可导致 HTTP 请求走私 (HRS) 攻击。CR 字符（无 LF）完全可以在 llhttp 解析器中分隔 HTTP 标头字段。根据 RFC7230 第 3 部分，只应使用 CRLF 序列分隔每个标头字段。此漏洞会影响所有可用的 Node.js 版本：v16、v18 和 v20 (CVE-2023-30589)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的程序包。另见
插件详情
严重性: High
ID: 179861
文件名: oraclelinux_ELSA-2023-4536.nasl
版本: 1.5
类型: local
代理: unix
发布时间: 2023/8/15
最近更新时间: 2024/11/2
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.4
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 6.1
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:N
CVSS 分数来源: CVE-2023-30590
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:oracle:linux:nodejs-nodemon, p-cpe:/a:oracle:linux:nodejs-docs, p-cpe:/a:oracle:linux:nodejs-packaging-bundler, p-cpe:/a:oracle:linux:nodejs-packaging, cpe:/a:oracle:linux:8:8:appstream_base, p-cpe:/a:oracle:linux:nodejs-full-i18n, p-cpe:/a:oracle:linux:nodejs-devel, cpe:/o:oracle:linux:8, p-cpe:/a:oracle:linux:nodejs, p-cpe:/a:oracle:linux:npm, cpe:/a:oracle:linux:8::appstream, cpe:/a:oracle:linux:8::appstream_developer
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux
可利用: true
易利用性: Exploits are available
补丁发布日期: 2023/8/10
漏洞发布日期: 2023/6/29
参考资料信息
CVE: CVE-2023-30581, CVE-2023-30588, CVE-2023-30589, CVE-2023-30590
IAVA: 2023-A-0561