MagicLinux 8nodejs:20 (AXSA:2024-7668:01)
critical Nessus 插件 ID 292995
语言：
简介
远程iraclelinux 主机缺少一个或多个安全更新。描述
远程iraclelinux 8 主机上存在安装的程序包该程序包受到 AXSA:2024-7668:01 公告中提及的多个漏洞的影响。* nodejs：容易受到 Bleichenbacher 计时变体针对 PKCS#1 v1.5 填充 (Marvin) 发起的攻击的影响 (CVE-2023-46809)
* nodejs：利用无限区块扩展读取未处理的 HTTP 请求会引起 DoS 攻击（CVE-2024-22019）
* nodejs：利用 Linux 功能导致的代码注入和特权提升 (CVE-2024-21892)
* nodejs：monkey-patching 缓冲区内部的路径遍历 (CVE-2024-21896)
* nodejs：因不当路径遍历序列审查导致的多种权限模型绕过 (CVE-2024-21891)
* nodejs：未正确处理 --allow-fs-read 和 --allow-fs-write 中的通配符 (CVE-2024-21890)
* nodejssetuid() 不会由于 io_uring 而终止所有权限 (CVE-2024-22017) CVE-2023-46809
** 已预留 ** 该候选编码已被某个组织或个人预留，将在公告新的安全问题时使用。在公布候选编码时，将提供该候选编码的详情。
CVE-2024-21890 Node.js 权限模型未在文档中阐明通配符只能用作文件路径的最后一个字符。例如：```--allow-fs-read=/home/node/.ssh/*.pub``` 将忽略 `pub` 并授予对 `.ssh/` 之后所有内容的访问权限。此误导性文档会影响使用 Node.js 20 和 Node.js 21 中的实验性权限模型的所有用户。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。
CVE-2024-21891 Node.js 依赖多个内置实用工具函数来规范化提供给 node:fs 函数的路径这可被用户定义的实现改写从而通过路径遍历攻击导致绕过文件系统权限模型。此漏洞会影响使用 Node.js 20 和 Node.js 21 中的实验性权限模型的所有用户。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。
CVE-2024-21892 在 Linux 中Node.js 会忽略某些环境变量如果非特权用户在进程以提升的权限运行时进行了设置唯一的 CAP_NET_BIND_SERVICE 例外。由于此异常实现中存在一个缺陷，即使设置了某些其他功能，Node.js 也会错误应用此异常。这允许非特权用户注入继承了进程提升的权限的代码。
CVE-2024-21896 权限模型通过在用户提供的任何路径上调用 path.resolve() 来保护自身免受路径遍历攻击。如果要将路径视为 Buffer，则该实现会使用 Buffer.from() 从 path.resolve() 的结果中获取 Buffer。通过 monkey-patching Buffer 内部构件，即 Buffer.prototype.utf8Write，应用程序可以修改 path.resolve() 的结果，从而导致路径遍历漏洞。此漏洞会影响使用 Node.js 20 和 Node.js 21 中的实验性权限模型的所有用户。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。
CVE-2024-22017 如果在调用 setuid() 之前进行初始化 setuid() 不影响 libuv 的内部 io_uring 操作。
这使得进程能够执行特权操作，尽管可能已经丢失了通过调用 setuid() 提供的此类特权。此漏洞会影响使用 Node.js 18.18.0、Node.js 20.4.0 和 Node.js 21 及以上版本的所有用户。
CVE-2024-22019 Node.js HTTP 服务器中的漏洞允许攻击者发送特别构建的带有分块编码的 HTTP 请求进而导致资源耗尽和拒绝服务 (DoS)。服务器会从单个连接读取无限数量的字节，利用区块扩展字节限制的缺陷。此问题可造成 CPU 和网络带宽耗尽，进而绕过超时和正文大小限制等标准防护措施。
模块名称：nodejs 流名称：20
Tenable 已直接从MiracleLinux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的程序包。另见
插件详情
严重性: Critical
ID: 292995
文件名: miracle_linux_AXSA-2024-7668.nasl
版本: 1.1
类型: Local
发布时间: 2026/1/20
最近更新时间: 2026/1/20
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.9
Vendor
Vendor Severity: High
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2024-21896
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:miracle:linux:nodejs-docs, p-cpe:/a:miracle:linux:nodejs-full-i18n, p-cpe:/a:miracle:linux:nodejs-packaging, p-cpe:/a:miracle:linux:npm, cpe:/o:miracle:linux:8, p-cpe:/a:miracle:linux:nodejs, p-cpe:/a:miracle:linux:nodejs-nodemon, p-cpe:/a:miracle:linux:nodejs-debugsource, p-cpe:/a:miracle:linux:nodejs-packaging-bundler, p-cpe:/a:miracle:linux:nodejs-devel
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/MiracleLinux/release, Host/MiracleLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2024/4/11
漏洞发布日期: 2024/2/14
参考资料信息
CVE: CVE-2023-46809, CVE-2024-21890, CVE-2024-21891, CVE-2024-21892, CVE-2024-21896, CVE-2024-22017, CVE-2024-22019