The remote Redhat Enterprise Linux 6 / 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2017:2908 advisory.

    Node.js is a software development platform for building fast and scalable network applications in the     JavaScript programming language.

    The following packages have been upgraded to a later upstream version: rh-nodejs6-nodejs (6.11.3).
    (BZ#1476317)

    Security Fix(es):

    * It was found that Node.js was using a non-randomized seed when populating hash tables. An attacker, able     to supply a large number of inputs, could send specially crafted entries to the Node.js application,     maximizing hash collisions to trigger an excessive amount of CPU usage, resulting in a denial of service.
    (CVE-2017-11499)

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

CVE-2017-1000381 The c-ares function ares_parse_naptr_reply(), which is used for parsing NAPTR responses, could be triggered to read memory outside of the given input buffer if the passed in DNS response packet was crafted in a particular way.

For Debian 7 'Wheezy', these problems have been fixed in version 1.9.1-3+deb7u2.

We recommend that you upgrade your c-ares packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

This update for libcares2 fixes the following issues :

  - CVE-2017-1000381: A NAPTR parser out of bounds access     was fixed that could lead to crashes. (bsc#1044946)

This update was imported from the SUSE:SLE-12:Update update project.

New version, security fix for CVE-2017-1000381.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The remote Ubuntu 16.04 ESM / 18.04 ESM host has packages installed that are affected by multiple vulnerabilities as referenced in the USN-4796-1 advisory.

    Alexander Minozhenko and James Bunton discovered that Node.js did not properly handle wildcards in name     fields of X.509 TLS certificates. An attacker could use this vulnerability to execute a machine-in-the-     middle- attack. This issue only affected Ubuntu 14.04 ESM and 16.04 ESM. (CVE-2016-7099)

    It was discovered that Node.js incorrectly handled certain NAPTR responses. A remote attacker could     possibly use this issue to cause applications using Node.js to crash, resulting in a denial of service.
    This issue only affected Ubuntu 16.04 ESM. (CVE-2017-1000381)

    Nikita Skovoroda discovered that Node.js mishandled certain input, leading to an out of bounds write. An     attacker could use this vulnerability to cause a denial of service (crash) or possibly execute arbitrary     code. This issue only affected Ubuntu 18.04 ESM. (CVE-2018-12115)

    Arkadiy Tetelman discovered that Node.js improperly handled certain malformed HTTP requests. An attacker     could use this vulnerability to inject unexpected HTTP requests. This issue only affected Ubuntu 18.04     ESM. (CVE-2018-12116)

    Jan Maybach discovered that Node.js did not time out if incomplete HTTP/HTTPS headers were received. An     attacker could use this vulnerability to cause a denial of service by keeping HTTP/HTTPS connections alive     for a long period of time. This issue only affected Ubuntu 18.04 ESM. (CVE-2018-12122)

    Martin Bajanik discovered that the url.parse() method would return incorrect results if it received     specially crafted input. An attacker could use this vulnerability to spoof the hostname and bypass     hostname-specific security controls. This issue only affected Ubuntu 18.04 ESM. (CVE-2018-12123)

    It was discovered that Node.js is vulnerable to a DNS rebinding attack which could be exploited to perform     remote code execution. An attack is possible from malicious websites open in a web browser with network     access to the system running the Node.js process. This issue only affected Ubuntu 18.04 ESM.
    (CVE-2018-7160)

    It was discovered that the Buffer.fill() and Buffer.alloc() methods improperly handled certain inputs. An     attacker could use this vulnerability to cause a denial of service. This issue only affected Ubuntu 18.04     ESM. (CVE-2018-7167)

    Marco Pracucci discovered that Node.js mishandled HTTP and HTTPS connections. An attacker could use this     vulnerability to cause a denial of service. This issue only affected Ubuntu 18.04 ESM. (CVE-2019-5737)

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

自己報告されたバージョンによると、リモートホストで実行されている Nessus Network Monitor は、6.2.2 より前です。したがって、TNS-2023-23 のアドバイザリに記載されている複数の脆弱性の影響を受けます。サードパーティコンポーネントのいくつかに脆弱性が含まれていることが判明し、プロバイダーにより更新バージョンが利用可能になっています。警戒するため、最適な実施基準に従って、Tenable はこれらのコンポーネントをアップグレードし、この問題の潜在的な影響に対処することにしました。Nessus Network Monitor 6.2.2 は、以下のコンポーネントを更新します。

  - c-ares のバージョン 1.10.0 からバージョン 1.19.1。
  - curl のバージョン 7.79.1 からバージョン 8.1.2。
  - libbzip2 のバージョン 1.0.6 からバージョン 1.0.8。
  - libpcre のバージョン 8.42 からバージョン 8.44。
  - libxml2 のバージョン 2.7.7 からバージョン 2.11.1。
  - libxslt のバージョン 1.1.26 からバージョン 1.1.37。
  - libxmlsec のバージョン 1.2.18 からバージョン 1.2.37。
  - sqlite のバージョン 3.27.2 からバージョン 3.40.1。
  - jQuery Cookie のバージョン 1.3.1 からバージョン 1.4.1。
  - jQuery UI のバージョン 1.13.0 からバージョン 1.13.2。
  - OpenSSL のバージョン 3.0.8 からバージョン 3.0.9。

- CVE-2017-1000381：c-ares NAPTRパーサーの領域外アクセス

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

[セキュリティ更新]（https://nodejs.org/en/blog/vulnerability/july-2017-security-reリース/）

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - NAPTR応答の解析に使用されるc-ares関数ares_parse_naptr_reply()は、特別な方法で細工されたDNS応答パケットで渡される場合、指定された入力バッファの外部にあるメモリの読み取りが引き起こされる可能性があります。(CVE-2017-1000381)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている F5 Networks BIG-IP のバージョンは、テスト済みバージョンより前です。したがって、K000149130 のアドバイザリに記載されている脆弱性の影響を受けます。

    NAPTR 応答の解析で使用される c-ares 関数「ares_parse_naptr_reply()」は、DNS 応答パケットで渡される特定の方法で細工された場合、特定の入力バッファ外でメモリを読み取るようにトリガーされる可能性があります。CVE-2017-1000381

Tenable は、前述の記述ブロックを F5 Networks BIG-IP セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
234432	RHEL 6 / 7 : rh-nodejs6-nodejs (RHSA-2017:2908)	Nessus	Red Hat Local Security Checks	2025/4/15	2025/4/15	high
101006	Debian DLA-998-1 : c-ares security update	Nessus	Debian Local Security Checks	2017/6/23	2021/1/11	high
101543	openSUSE Security Update : libcares2 (openSUSE-2017-810)	Nessus	SuSE Local Security Checks	2017/7/14	2021/1/19	high
102098	Fedora 25 : mingw-c-ares (2017-05254795cf)	Nessus	Fedora Local Security Checks	2017/8/2	2021/1/11	high
102100	Fedora 26 : mingw-c-ares (2017-7c9a5b4791)	Nessus	Fedora Local Security Checks	2017/8/2	2021/1/6	high
183156	Ubuntu 16.04 ESM / 18.04 ESM : Node.js vulnerabilities (USN-4796-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2025/9/3	high
177842	Nessus Network Monitor < 6.2.2 複数の脆弱性 (TNS-2023-23)	Nessus	Misc.	2023/6/30	2023/7/6	critical
101096	Fedora 25：c-ares（2017-ba1399832b）	Nessus	Fedora Local Security Checks	2017/6/29	2021/1/6	high
101653	Fedora 26：c-ares（2017-6dc3fd198d）	Nessus	Fedora Local Security Checks	2017/7/17	2021/1/6	high
102005	Fedora 24：1：nodejs（2017-aa44293a53）	Nessus	Fedora Local Security Checks	2017/7/27	2021/1/6	high
220312	Linux Distros のパッチ未適用の脆弱性: CVE-2017-1000381	Nessus	Misc.	2025/3/4	2025/9/14	high
242562	F5 Networks BIG-IPc-ares の脆弱性K000149130	Nessus	F5 Networks Local Security Checks	2025/7/22	2025/7/22	high

检测

插件搜索

high

high

high

high

high

high

critical

high

high

high

high

high