Linux Distros 未修补的漏洞: CVE-2024-56332
medium Nessus 插件 ID 230331
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- Next.js 是用于构建全堆栈 Web 应用程序的 React 框架。从版本 13.0.0 到低于版本 13.5.8、 14.2.21和 15.1.2的版本中，Next.js 容易受到拒绝服务 (DoS) 攻击，这种攻击允许攻击者构建使服务器操作处于挂起状态的请求，直到托管服务提供商将取消函数执行。当部署在按响应时间计费的提供商中时，此漏洞也可被用作拒绝电子设备 (DoW) 攻击。（注意：Next.js 服务器在此期间空闲，仅保持连接打开。在此期间，CPU 和内存占用很少。）
未针对长时间运行的服务器操作调用提供任何保护的部署特别容易受到攻击。Vercel 或 Netlify 等托管提供商会设置函数执行的默认最长持续时间，以降低超额计费的风险。此问题与传入 HTTP 请求包含无效“Content-Length”标头或永不关闭一样。如果主机没有针对这些问题的其他缓解措施 则此漏洞即为新型漏洞。此漏洞仅影响使用服务器操作的 Next.js 部署。问题已在 Next.js 13.5.8、 14.2.21和 15.1.2中解决。建议用户升级到安全版本。无官方的变通方案。 (CVE-2024-56332)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。插件详情
严重性: Medium
ID: 230331
文件名: unpatched_CVE_2024_56332.nasl
版本: 1.1
类型: local
代理: unix
系列: Misc.
发布时间: 2025/3/6
最近更新时间: 2025/3/6
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Low
分数: 1.4
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 3.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
CVSS 分数来源: CVE-2024-56332
CVSS v3
风险因素: Medium
基本分数: 5.3
时间分数: 4.6
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
必需的 KB 项: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched
易利用性: No known exploits are available
漏洞发布日期: 2025/1/3
参考资料信息
CVE: CVE-2024-56332