因此，如公告 ALAS2023-2024-568 所述，受到多个漏洞的影响。

  - 已发现 Node.js 中存在一个漏洞，当使用 fetch() 函数从不受信任的 URL 检索内容时，攻击者可利用该漏洞，通过资源耗尽发动拒绝服务 (DoS) 攻击。此漏洞源于 Node.js 中的 fetch() 函数始终对 Brotli 进行解码，从而导致从不受信任的 URL 检索内容时，攻击者可造成资源耗尽。控制传递到 fetch() 的 URL 的攻击者可利用此漏洞来耗尽内存，而取决于系统配置情况，这可能导致进程终止。(CVE-2024-22025)

  - Undici 是专为 Node.js 从头编写的 HTTP/1.1 客户端。Undici 已经清除了跨源重定向的授权标头，但没有清除 `Proxy-Authentication` 标头。已在 5.28.3 和 6.6.1 中修补此问题。建议所有用户都进行升级。目前尚无针对此漏洞的变通方案。(CVE-2024-24758)

  - c-ares 是用于异步 DNS 请求的 C 库。`ares__read_line()` 用于解析本地配置文件（例如 `/etc/resolv.conf`、`/etc/nsswitch.conf`）、`HOSTALIASES` 文件，以及 `/etc/hosts` 文件（如果使用低于 1.27.0 的 c-ares 版本）。如果这些配置文件中有任何文件将嵌入的 `NULL` 字符作为新行的首个字符，可导致系统尝试在给定缓冲区起始位置之前读取内存，进而可能导致崩溃。此问题已在 c-ares 1.27.0 中修复。
    尚无已知的变通方案。(CVE-2024-25629)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2023：nodejs、nodejs-devel、nodejs-full-i18n (ALAS2023-2024-568)

low Nessus 插件 ID 192449

未找到依赖项