远程 Rocky Linux 8 主机上安装的多个程序包受到 RLSA-2023:7205 公告中提及的多个漏洞影响。

  - 当 Node.js 策略功能根据可信清单检查资源的完整性时，应用程序可以拦截该操作并向节点的策略实现返回伪造的校验和，从而有效地禁用完整性检查。影响此漏洞会影响在所有以下可用的稳定版本系列中使用实验性策略机制的所有用户：18.x 和 20.x。请注意，发布此 CVE 时，该策略机制是 Node.js 的一项实验性功能。(CVE-2023-38552)

  - 先前在 commit 205f1e6 中披露的漏洞 (CVE-2023-30584) 修补不充分。出现新的路径遍历漏洞的原因是该实现无法保护自身免受应用程序使用用户定义的实现覆盖内置实用函数的影响。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。(CVE-2023-39331)

  - 各种“node:fs”函数允许将路径指定为字符串或“Uint8Array”对象。在 Node.js 环境中，“Buffer”类扩展了“Uint8Array”类。Node.js 防止通过字符串（请参阅 CVE-2023-30584）和“Buffer”对象（请参阅 CVE-2023-32004）进行路径遍历，但不防止通过非“Buffer”“Uint8Array”对象进行路径遍历。这与 CVE-2023-32004 不同，后者仅引用“Buffer”对象。
    然而，该漏洞遵循相同的模式，使用“Uint8Array”而不是“Buffer”。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。
    (CVE-2023-39332)

  - HTTP/2 协议允许拒绝服务（服务器资源消耗），因为取消请求即可快速重置许多流，正如在 2023 年 8 月到 2023 年 10 月期间在现实环境中利用的那样。(CVE-2023-44487)

  - Undici 是专为 Node.js 从头编写的 HTTP/1.1 客户端。在低于 5.26.2 的版本中，Undici 已经清除了跨源重定向的授权标头，但没有清除“Cookie”标头。根据设计，“Cookie”标头是禁止的请求标头，不允许在浏览器环境中的 RequestInit.headers 中设置它们。Undici 在处理 HTTP 标头时比规范更自由，这导致了规范所假设的情况与 Undici 实现的获取方法之间出现了不一致。因此，这可能会导致 Cookie 意外泄漏到第三方网站，或者由于存在开放重定向器，攻击者可以利用这个漏洞使 Cookie 泄漏给第三方网站。此问题已在版本 5.26.2 中得到修补。没有已知的变通方案。(CVE-2023-45143)

  - 导入的 WebAssembly 模块中恶意制作的导出名称可以注入 JavaScript 代码。注入的代码可能能够访问 WebAssembly 模块本身无法访问的数据和函数，就像 WebAssembly 模块是一个 JavaScript 模块一样。影响：感谢 dittyroma 报告此漏洞，同时感谢 Tobias Nieen 修复此漏洞。(CVE-2023-39333)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Rocky Linux 8：nodejs:20 (RLSA-2023:7205)

critical Nessus 插件 ID 186401

版本 1.1