远程 Debian 10 主机上安装的多个程序包受到 dla-3776 公告中提及的多个漏洞影响。

  - crypto.createDiffieHellman() 返回的 generateKeys() API 函数仅生成缺失（或过时）的密钥，即此函数只会在尚未设置任何密钥时生成私钥，但也需要在调用 setPrivateKey() 后使用此函数计算相应的公钥。不过，文档中已说明此 API 调用会生成私有和公共 Diffie-Hellman 密钥值。记录的行为与实际行为非常不同，这种差异很容易导致使用这些 API 的应用程序中出现安全问题，这是因为 DiffieHellman 可能会被用作应用程序级安全措施的基础，因此会产生广泛的影响。(CVE-2023-30590)

  - 已发现 Node.js 中存在一个漏洞，当使用 fetch() 函数从不受信任的 URL 检索内容时，攻击者可利用该漏洞，通过资源耗尽发动拒绝服务 (DoS) 攻击。此漏洞源于 Node.js 中的 fetch() 函数始终对 Brotli 进行解码，从而导致从不受信任的 URL 检索内容时，攻击者可造成资源耗尽。控制传递到 fetch() 的 URL 的攻击者可利用此漏洞来耗尽内存，而取决于系统配置情况，这可能导致进程终止。(CVE-2024-22025)

  - crypto 库的 privateDecrypt() API 中存在一个漏洞，攻击者可利用此漏洞，在 PKCS#1 v1.5 填充错误处理期间隐蔽时序边信道。该漏洞揭示了对有效和无效密文进行解密时的重大时间性差异。这会造成严重威胁，因为攻击者可远程利用此漏洞来解密捕获的 RSA 密文或伪造签名，特别是在涉及 API 端点处理 Json Web Encryption 消息的情况下。影响：感谢 hkario 报告此漏洞，同时感谢 Michael Dawson 修复此漏洞。(CVE-2023-46809)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dla-3776：libnode-dev - 安全更新

high Nessus 插件 ID 192597

版本 1.0