远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2020:4272 中提及的多个漏洞的影响。

  - npm CLI 6.14.6 之前版本容易受到通过日志文件造成的信息泄露漏洞的影响。CLI 支持如下 URL：<protocol>://[<user>[:<password>]@]<hostname>[:<port>][:][/]<path>。密码值未编辑，而是被打印到 stdout 以及任何生成的日志文件中。(CVE-2020-15095)

  - dot-prop npm 数据包 4.2.1 之前版本以及 5.1.1 之前的 5.x 版本中存在原型污染漏洞，攻击者可利用此漏洞，向 JavaScript 语言结构（如对象）中添加任意属性。
    (CVE-2020-8116)

  - 攻击者可利用 Node.js < 12.18.4 和 < 14.11 执行 HTTP 失步攻击，并向毫无防备的用户传递恶意负载。攻击者可构建负载，以劫持用户会话，使 Cookie 中毒，执行点击劫持以及大量其他攻击，具体取决于底层系统的架构。此攻击可能是处理 HTTP 标头名称中的载波返回符号过程中的缺陷所致。(CVE-2020-8201)

  - Node.js 中使用的版本低于 10.22.1、12.18.4 和 14.9.0 的 libuv 中的 realpath 实现未正确确定缓冲区大小，如果解析的路径长于 256 个字节，则可导致缓冲区溢出。(CVE-2020-8252)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Rocky Linux 8nodejs:12 (RLSA-2020:4272)

high Nessus 插件 ID 184572

未找到变更日志