远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2019:2925 中提及的多个漏洞的影响。

  - 在 Node.js（包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x）中，攻击者可以通过在保持活动状态中建立 HTTP 或 HTTPS 连接并非常缓慢地发送标头来导致拒绝服务 (DoS)。这可使连接及其关联资源长时间保持活动状态。使用负载均衡器或其他代理层可缓解潜在攻击。
    此漏洞是 CVE-2018-12121 的扩展，已在 11 月得到解决，此漏洞会影响所有活跃的 Node.js 发行版本，包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x。(CVE-2019-5737)

  - 部分 HTTP/2 实现易于受到窗口大小操控和流优先顺序操控的攻击，可能导致拒绝服务。攻击者通过多个流从指定的资源请求大量数据。它们操控窗口大小和流优先顺序，以强制服务器在 1 字节区块中排列数据。根据数据排队的效率，这种攻击可能过度消耗 CPU、内存或两者兼有。(CVE-2019-9511)

  - 某些 HTTP/2 实现容易受到 ping 洪流攻击，可能导致拒绝服务。攻击者向 HTTP/2 对等体发送连续 ping，导致对等体构建内部响应队列。根据数据排队的效率，这种攻击可能过度消耗 CPU、内存或两者兼有。
    (CVE-2019-9512)

  - 一些 HTTP/2 实施容易受到资源循环攻击，可能导致拒绝服务。
    攻击者创建多个请求流并持续打乱流的优先级，其方式会造成优先级树的实际改动。这会耗用过度的 CPU。(CVE-2019-9513)

  - 某些 HTTP/2 实现容易受到重置洪流攻击，可能导致拒绝服务。
    攻击者打开多个流，并通过每个流发送一个无效请求，该请求应该从对等体请求 RST_STREAM 帧流。根据对等机 RST_STREAM 帧排队的方式，这种攻击可能会过度消耗内存、CPU 或两者兼有。(CVE-2019-9514)

  - 某些 HTTP/2 实现容易受到设置洪流攻击，可能导致拒绝服务。攻击者会向对等端发送 SETTINGS 帧流。由于 RFC 要求对等机对每一个设置帧都要回复确认，因此空设置帧在行为上几乎等同于 ping。根据数据排队的效率，这种攻击可能过度消耗 CPU、内存或两者兼有。(CVE-2019-9515)

  - 一些 HTTP/2 实施容易受到标头泄露攻击可能导致拒绝服务。
    攻击者发送具有零长度标头名称和零长度标头值的标头流，也可选择编码为 1 字节或更大标头的 Huffman。部分实现为这些标头分配内存，并保持分配活动直到会话结束。这会消耗过多内存。 (CVE-2019-9516)

  - 一些 HTTP/2 实施容易受到不受限制的内部数据缓冲攻击可能导致拒绝服务。攻击者打开 HTTP/2 窗口以便对等机可以不受限制地发送；
    但是它们会使 TCP 窗口关闭，因此对等机实际无法在线路上写入（许多）字节。然后，攻击者会针对大型响应对象发送请求流。根据服务器排序响应的方式，这可能会消耗过多内存、CPU 或同时消耗这两者。(CVE-2019-9517)

  - 某些 HTTP/2 实现容易受到空帧的淹没攻击，可能导致拒绝服务。攻击者可发送带有空负载且没有流结束标志的帧流。
    这些帧可以是 DATA、HEADERS、CONTINUATION 和/或 PUSH_PROMISE。对等机用于处理每帧的时间与攻击带宽的时间不成比例。这会耗用过度的 CPU。(CVE-2019-9518)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Rocky Linux 8nodejs:10 (RLSA-2019:2925)

high Nessus 插件 ID 184969

版本 1.3