远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2019:2939 公告中提及的多个漏洞影响。

  - nodejs：具有大型 HTTP 标头拒绝服务 (CVE-2018-12121)

  - nodejs：Slowloris HTTP 拒绝服务 (CVE-2018-12122)

  - nodejs：URL 解析器中用于 javascript 协议的主机名伪造 (CVE-2018-12123)

  - nodejs：未充分修复 Slowloris 可导致通过 server.headersTimeout 绕过造成 DoS (CVE-2019-5737)

  - HTTP/2：大量的数据请求导致拒绝服务 (CVE-2019-9511)

  - HTTP/2：使用 PING 帧的洪流导致无限制内存增长 (CVE-2019-9512)

  - HTTP/2：使用 PRIORITY 帧的洪流导致过度资源消耗 (CVE-2019-9513)

  - HTTP/2：使用 HEADERS 帧的洪流导致过度资源消耗 (CVE-2019-9514)

  - HTTP/2：使用 SETTINGS 帧的洪流导致过度资源消耗 (CVE-2019-9515)

  - HTTP/2：导致拒绝服务的 0 长度标头 (CVE-2019-9516)

  - HTTP/2：请求大量响应导致拒绝服务 (CVE-2019-9517)

  - HTTP/2：使用 empty 帧的洪流导致过度资源消耗 (CVE-2019-9518)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2019:2925 中提及的多个漏洞的影响。

  - 在 Node.js（包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x）中，攻击者可以通过在保持活动状态中建立 HTTP 或 HTTPS 连接并非常缓慢地发送标头来导致拒绝服务 (DoS)。这可使连接及其关联资源长时间保持活动状态。使用负载均衡器或其他代理层可缓解潜在攻击。
    此漏洞是 CVE-2018-12121 的扩展，已在 11 月得到解决，此漏洞会影响所有活跃的 Node.js 发行版本，包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x。(CVE-2019-5737)

  - 部分 HTTP/2 实现易于受到窗口大小操控和流优先顺序操控的攻击，可能导致拒绝服务。攻击者通过多个流从指定的资源请求大量数据。它们操控窗口大小和流优先顺序，以强制服务器在 1 字节区块中排列数据。根据数据排队的效率，这种攻击可能过度消耗 CPU、内存或两者兼有。(CVE-2019-9511)

  - 某些 HTTP/2 实现容易受到 ping 洪流攻击，可能导致拒绝服务。攻击者向 HTTP/2 对等体发送连续 ping，导致对等体构建内部响应队列。根据数据排队的效率，这种攻击可能过度消耗 CPU、内存或两者兼有。
    (CVE-2019-9512)

  - 一些 HTTP/2 实施容易受到资源循环攻击，可能导致拒绝服务。
    攻击者创建多个请求流并持续打乱流的优先级，其方式会造成优先级树的实际改动。这会耗用过度的 CPU。(CVE-2019-9513)

  - 某些 HTTP/2 实现容易受到重置洪流攻击，可能导致拒绝服务。
    攻击者打开多个流，并通过每个流发送一个无效请求，该请求应该从对等体请求 RST_STREAM 帧流。根据对等机 RST_STREAM 帧排队的方式，这种攻击可能会过度消耗内存、CPU 或两者兼有。(CVE-2019-9514)

  - 某些 HTTP/2 实现容易受到设置洪流攻击，可能导致拒绝服务。攻击者会向对等端发送 SETTINGS 帧流。由于 RFC 要求对等机对每一个设置帧都要回复确认，因此空设置帧在行为上几乎等同于 ping。根据数据排队的效率，这种攻击可能过度消耗 CPU、内存或两者兼有。(CVE-2019-9515)

  - 一些 HTTP/2 实施容易受到标头泄露攻击可能导致拒绝服务。
    攻击者发送具有零长度标头名称和零长度标头值的标头流，也可选择编码为 1 字节或更大标头的 Huffman。部分实现为这些标头分配内存，并保持分配活动直到会话结束。这会消耗过多内存。 (CVE-2019-9516)

  - 一些 HTTP/2 实施容易受到不受限制的内部数据缓冲攻击可能导致拒绝服务。攻击者打开 HTTP/2 窗口以便对等机可以不受限制地发送；
    但是它们会使 TCP 窗口关闭，因此对等机实际无法在线路上写入（许多）字节。然后，攻击者会针对大型响应对象发送请求流。根据服务器排序响应的方式，这可能会消耗过多内存、CPU 或同时消耗这两者。(CVE-2019-9517)

  - 某些 HTTP/2 实现容易受到空帧的淹没攻击，可能导致拒绝服务。攻击者可发送带有空负载且没有流结束标志的帧流。
    这些帧可以是 DATA、HEADERS、CONTINUATION 和/或 PUSH_PROMISE。对等机用于处理每帧的时间与攻击带宽的时间不成比例。这会耗用过度的 CPU。(CVE-2019-9518)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 16.04 ESM / 18.04 ESM 主机上安装的多个程序包受到 USN-4796-1 公告中提及的多个漏洞影响。

  - 0.10.47 之前的 Node.js 0.10.x、0.12.16 之前的 0.12.x、4.6.0 之前的 4.x 和 6.7.0 之前的 6.x 中 tls.checkServerIdentity 函数未正确处理 X.509 证书名称字段中的通配符，这使得中间人攻击者可以通过精心设计的证书来欺骗服务器。(CVE-2016-7099)

  - 如果传入的 DNS 响应数据包是以特定方式构建，可触发用于解析 NAPTR 响应的 c-ares 函数 `ares_parse_naptr_reply()`，以读取给定输入缓冲区之外的内存。(CVE-2017-1000381)

  - 在 6.14.4、 8.11.4 和 10.9.0 之前的所有 Node.js 版本中，当与 UCS-2 编码一起使用时（由 Node.js 识别为以下名称：`'ucs2'`、`'ucs-2'`、`'utf16le'` 和 `'utf-16le'`），`Buffer#write()` 可能被滥用，导致在单个 `Buffer` 的边界之外写入。写入从缓冲区倒数第二个位置开始，会导致错误计算要写入的输入字节的最大长度。(CVE-2018-12115)

  - Node.js: Node.js 6.15.0 和 8.14.0 之前的所有版本：HTTP 请求拆分：如果可以诱使 Node.js 将未审查的用户提供的 Unicode 数据用于 HTTP 请求的 `path` 选项，则可以提供数据，这将触发向相同服务器发出的第二个意外、由用户定义的 HTTP 请求。(CVE-2018-12116)

  - Node.js: Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：Slowloris HTTP 拒绝服务：攻击者可以通过非常缓慢地发送标头来长时间保持 HTTP 或 HTTPS 连接及相关资源处于活动状态，从而导致拒绝服务 (DoS)。(CVE-2018-12122)

  - Node.js: Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：URL 解析器中用于 javascript 协议的主机名伪造：如果 Node.js 应用程序使用 url.parse() 来确定 URL 主机名，则可以使用大小写混合的 javascript 协议来欺骗该主机名：（例如 javAscript：，其他协议不受影响）。如果根据主机名对 URL 做出安全决策，则它们可能不正确。(CVE-2018-12123)

  - Node.js 检查器 6.x 和更高版本容易遭受 DNS 重新绑定攻击，攻击者可利用此漏洞发起远程代码执行。攻击可能来自在 Web 浏览器中打开的恶意网站，而浏览器可能安装在同一台电脑上，或是安装在能够通过网络访问运行 Node.js 进程的其他电脑上。恶意网站可使用 DNS 重新绑定攻击来诱骗 Web 浏览器绕过同源策略检查，并允许实现指向 localhost 或本地网络上主机的 HTTP 连接。如果启用错误调试端口的 Node.js 进程在 localhost 或位于本地网络的主机上运行，则恶意网站可连接此进程并将其充作调试程序，并获得完整的代码执行权限。(CVE-2018-7160)

  - 使用带某些参数的调用 Buffer.fill() 或 Buffer.alloc() 可能会导致挂起，从而造成拒绝服务。为了解决此漏洞，已更新 Buffer.alloc() 和 Buffer.fill() 的实现，以便它们在这些情况下的内存填充为 0 而不是挂起。Node.js 6.x (LTS Boron)、8.x (LTS Carbon) 和 9.x 的所有版本均容易受到攻击。Node.js 10.x（当前版本）的所有版本均不易受到攻击。(CVE-2018-7167)

  - 在 Node.js（包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x）中，攻击者可以通过在保持活动状态中建立 HTTP 或 HTTPS 连接并非常缓慢地发送标头来导致拒绝服务 (DoS)。这可使连接及其关联资源长时间保持活动状态。使用负载均衡器或其他代理层可缓解潜在攻击。
    此漏洞是 CVE-2018-12121 的扩展，已在 11 月得到解决，此漏洞会影响所有活跃的 Node.js 发行版本，包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x。(CVE-2019-5737)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

nodejs:10 模块的更新现在可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Node.js 是个软件开发平台，可使用 JavaScript 编程语言构建快速且可扩展的网络应用程序。下列程序包已升级到更高的上游版本：nodejs (10.16.3)。安全修复：* HTTP/2：大量的数据请求导致拒绝服务 (CVE-2019-9511) * HTTP/2：利用 PING 帧的洪流导致无限内存增长 (CVE-2019-9512) * HTTP/2：使用 PRIORITY 帧的洪流导致过度资源消耗 (CVE-2019-9513) * HTTP/2：使用标头帧的洪流导致无限的内存增长 (CVE-2019-9514) * HTTP/2：使用 SETTINGS 帧的洪流导致无限内存增长 (CVE-2019-9515) * HTTP/2：零长度标头导致拒绝服务 (CVE-2019-9516) * HTTP/2：大型响应请求导致拒绝服务 (CVE-2019-9517) * HTTP/2：利用空帧的洪流导致过度资源消耗 (CVE-2019-9518) 有关安全问题的更多详情，包括影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

针对 nodejs6 到 6.17.0 版本的这项更新修复下列问题：修复的安全问题：CVE-2019-5739：修复了一个潜在的攻击向量，此攻击向量可能在 HTTP 连接保持在作用中状态时导致拒绝服务 (bsc#1127533)。CVE-2019-5737：修复了一个潜在的攻击向量，此攻击向量可能在 HTTP 连接保持在作用中状态时导致拒绝服务 (bsc#1127532)。CVE-2019-1559：修复了 OpenSSL 0 字节记录 Padding Oracle，在某些情况下，TLS 服务器会被强迫以不同方式响应客户端，而导致数据解密 (bsc#1127080)。发行说明：https://nodejs.org/en/blog/release/v6.17.0/ 请注意，Tenable Network Security 已直接从 SUSE 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2019: 2925 公告中提及的多个漏洞的影响。

  - nodejs：未充分修复 Slowloris 可导致通过 server.headersTimeout 绕过造成 DoS (CVE-2019-5737)

  - HTTP/2：大量的数据请求导致拒绝服务 (CVE-2019-9511)

  - HTTP/2：使用 PING 帧进行淹没会导致无限的内存增长 (CVE-2019-9512)

  - HTTP/2：使用 PRIORITY 帧的淹没，导致过多的资源消耗 (CVE-2019-9513)

  - HTTP/2：使用 HEADERS 帧的淹没，导致无限的内存增长 (CVE-2019-9514)

  - HTTP/2：使用 SETTINGS 帧的淹没，导致无限的内存增长 (CVE-2019-9515)

  - HTTP/2：导致拒绝服务的 0 长度标头 (CVE-2019-9516)

  - HTTP/2：请求大型响应导致拒绝服务 (CVE-2019-9517)

  - HTTP/2：使用空帧的淹没，导致过多的资源消耗 (CVE-2019-9518)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202003-48 中所述漏洞的影响（Node.js：多个漏洞）

    已在 Node.js 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可能编写任意文件，造成拒绝服务情况或展开 HTTP 请求拆分攻击。
  变通方案：

    目前无任何已知的变通方案。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2019:1821 公告中提及的多个漏洞影响。

  - nodejs：HTTP 请求拆分 (CVE-2018-12116)

  - nodejs：具有大型 HTTP 标头拒绝服务 (CVE-2018-12121)

  - nodejs：Slowloris HTTP 拒绝服务 (CVE-2018-12122)

  - nodejs：URL 解析器中用于 javascript 协议的主机名伪造 (CVE-2018-12123)

  - nodejs-tar：提取包含硬链接的 tarball 时发生任意文件覆盖 (CVE-2018-20834)

  - nodejs：未充分修复 Slowloris 可导致通过 server.headersTimeout 绕过造成 DoS (CVE-2019-5737)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 Node.js（包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x）中，攻击者可以通过在保持活动状态中建立 HTTP 或 HTTPS 连接并非常缓慢地发送标头来导致拒绝服务 (DoS)。这可使连接及其关联资源长时间保持活动状态。使用负载均衡器或其他代理层可缓解潜在攻击。
    此漏洞是 CVE-2018-12121 的扩展，已在 11 月得到解决，此漏洞会影响所有活跃的 Node.js 发行版本，包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x。(CVE-2019-5737)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
194000	RHEL 7 : rh-nodejs10-nodejs (RHSA-2019:2939)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/6	medium
184969	Rocky Linux 8nodejs:10 (RLSA-2019:2925)	Nessus	Rocky Linux Local Security Checks	2023/11/7	2023/12/20	high
183156	Ubuntu 16.04 ESM / 18.04 ESM：Node.js 漏洞 (USN-4796-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2025/9/3	high
129480	RHEL 8 : nodejs:10 (RHSA-2019:2925)（零长度标头泄露）（数据 Dribble）（空帧洪流）（内部数据缓冲）（Ping 洪流）（重置洪流）（资源循环）（设置洪流）	Nessus	Red Hat Local Security Checks	2019/10/1	2025/3/15	high
123551	SUSE SLES12 安全更新：nodejs6 (SUSE-SU-2019:0818-1)	Nessus	SuSE Local Security Checks	2019/4/1	2022/12/5	medium
145589	CentOS 8：nodejs: 10 (CESA-2019: 2925)	Nessus	CentOS Local Security Checks	2021/1/29	2023/2/8	high
134776	GLSA-202003-48：Node.js：多个漏洞	Nessus	Gentoo Local Security Checks	2020/3/23	2024/3/21	critical
193999	RHEL 7 : rh-nodejs8-nodejs (RHSA-2019:1821)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/7	high
253266	Linux Distros 未修补的漏洞：CVE-2019-5737	Nessus	Misc.	2025/8/21	2025/8/21	high

检测

插件搜索

medium

high

high

high

medium

high

critical

high

high