Oracle Linux 7：http-parser (ELSA-2019-2258)

medium Nessus 插件 ID 180827

语言：

简介

远程 Oracle Linux 主机缺少一个或多个安全更新。

描述

远程 Oracle Linux 7 主机上安装的多个程序包受到 ELSA-2019-2258 公告中提及的多个漏洞影响。

- Node.js：Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：具有大型 HTTP 标头拒绝服务：通过使用具有最大尺寸标头（每个连接约 80 KB）的许多请求和仔细计算完成时间的标头，有可能造成 HTTP 服务器因堆分配故障而中止。可使用负载均衡器或其他代理层缓解潜在攻击。(CVE-2018-12121)

- Node.js 所有当前版本中的 HTTP 解析器都会忽略 `Content-Length` 标头中的空格，造成类似于“Content Length 的输入: 1 2”的输入被解释成值为“12”的情况。HTTP 规范不允许“Content-Length”值中存在空格，而 Node.js HTTP 解析器保留了这个特定差异。此缺陷对 Node.js 用户的安全风险可视为非常低，通过提供不正确的“Content-Length”值尚未实现的方式来利用此缺陷构建攻击非常困难，甚至不存在可能性。
相较于所提供数据的实际长度，用户代码可能会对此值的潜在准确性做出错误假设，从而存在漏洞。建议构建低级别 HTTP 实用工具的 Node.js 用户在解析完成后，重新检查所提供的任何输入的长度。
(CVE-2018-7159)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

更新受影响的 http-parser 和/或 http-parser-devel 程序包。

另见

https://linux.oracle.com/errata/ELSA-2019-2258.html

插件详情

严重性: Medium

ID: 180827

文件名: oraclelinux_ELSA-2019-2258.nasl

版本: 1.1

类型: local

代理: unix

系列: Oracle Linux Local Security Checks

发布时间: 2023/9/7

最近更新时间: 2024/10/22

支持的传感器: Frictionless Assessment Agent, Nessus Agent, Continuous Assessment, Nessus

风险信息

VPR

风险因素: Low

分数: 3.6

CVSS v2

风险因素: Medium

基本分数: 5

时间分数: 3.7

矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:P/A:N

CVSS 分数来源: CVE-2018-7159

CVSS v3

风险因素: Medium

基本分数: 5.3

时间分数: 4.6

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

时间矢量: CVSS:3.0/E:U/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:oracle:linux:http-parser-devel, cpe:/o:oracle:linux:7, p-cpe:/a:oracle:linux:http-parser

必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/OracleLinux

易利用性: No known exploits are available

补丁发布日期: 2019/8/13

漏洞发布日期: 2018/3/21

参考资料信息

CVE: CVE-2018-12121, CVE-2018-7159