远程 AlmaLinux 8 主机存在安装的程序包该程序包受到 ALSA-2023:0050 公告中提及的多个漏洞的影响。

    * minimist原型污染 (CVE-2021-44906)
    * node-fetch将敏感信息暴露给未经授权的执行者 (CVE-2022-0235)
    * nodejs-minimatch通过括号Expand 函数的 ReDoS (CVE-2022-3517)
    * expressqs 原型中毒导致节点进程挂起 (CVE-2022-24999)
    * nodejs通过无效的八进制 IP 地址检查中的 DNS 重新绑定 (CVE-2022-43548)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2023: 1533 公告中提及的多个漏洞影响。

  - Node.js 的 glob-parent 程序包 6.0.1 之前版本允许攻击者针对封装正则表达式发动 ReDoS（正则表达式拒绝服务）攻击。(CVE-2021-35065)

  - Minimist <=1.2.5 容易受到通过 index.js 文件的 setKey() 函数（第 69-95 行）造成的原型污染漏洞影响。
    (CVE-2021-44906)

  - Express 4.17.3 之前版本和其他产品中使用的 qs 6.10.3 之前的版本允许攻击者造成 Express 应用程序的 Node 进程挂起，这是因为可以使用 __ proto__ 密钥。在许多典型的 Express 用例中，未经身份验证的远程攻击者可将攻击负载置于用来访问应用程序的 URL 查询字符串中，例如 a[__proto__]=b&a[__proto__]&a[length]=100000000。此补丁已向后移植到 qs 6.9.7、6.8.3、6.7.3、6.6.1、6.5.3、6.4.1、6.3.3 和 6.2.4（因此 Express 4.17.3（其版本说明中包含 deps: qs@6.9.7）不易受到攻击）。(CVE-2022-24999)

  - 这会影响 4.1.1 之前版本的程序包 http-cache-semantics。如果服务器使用此库从请求中读取缓存策略，攻击者则可以通过向该服务器发送恶意请求标头来利用此问题。(CVE-2022-25881)

  - 在 minimatch 程序包中发现漏洞。当使用特定参数调用 braceExpand 函数时，此缺陷可导致正则表达式拒绝服务 (ReDoS)，进而导致拒绝服务。 (CVE-2022-3517)

  - Node v18.7.0 中 http 模块的 llhttp 解析器未正确处理非以 CLRF 结尾的标头字段，这可能会导致 HTTP 请求走私攻击。(CVE-2022-35256)

  - decode-uri-component 0.2.0 版容易受到不当输入验证的影响，从而导致 DoS。(CVE-2022-38900)

  - 低于 14.21.1、16.18.1、18.12.1、19.0.1 的 Node.js 版本中存在操作系统命令注入漏洞，这是因为 IsAllowedHost 检查不充分所致，IsIPAddress 在发出 DBS 请求前未正确检查 IP 地址是否无效，从而导致可轻松绕过该漏洞并允许重新绑定攻击。https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32212 中对此问题的修复不完整，新的 CVE 将完成修复。(CVE-2022-43548)

  - 在 c-ares 程序包中发现一个缺陷。ares_set_sortlist 缺少关于输入字符串有效性的检查，这可能允许任意长度的堆栈溢出。此问题可能导致拒绝服务，或对机密性和完整性造成有限的影响。(CVE-2022-4904)

  - Node.js <19.6.1、<18.14.1、<16.19.1 和 <14.21.3 版存在权限提升漏洞，攻击者可利用此漏洞绕过 Node.js 中的实验性权限 (https://nodejs.org/api/permissions.html) 功能，并使用 process.mainModule.require() 访问非授权模块。这仅影响已通过 --experimental-policy 启用实验性权限选项的用户。(CVE-2023-23918)

  - 低於 19.6.1、18.14.1、16.19.1、14.21.3 的 Node.js 版本中存在不受信任的搜索路径漏洞，攻击者可藉此在以提升的权限运行时進行搜索并可能加载 ICU 数据。
    (CVE-2023-23920)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 8 主机上存在安装的程序包该程序包受到公告 RLSA-2023:0050 中提及的多个漏洞的影响。

  - Minimist <=1.2.5 容易受到通过 index.js 文件的 setKey() 函数（第 69-95 行）造成的原型污染漏洞影响。
    (CVE-2021-44906)

  - node-fetch 容易受到将敏感信息泄露给未经授权的参与者的影响 (CVE-2022-0235)

  - Express 4.17.3 之前版本和其他产品中使用的 qs 6.10.3 之前的版本允许攻击者造成 Express 应用程序的 Node 进程挂起，这是因为可以使用 __ proto__ 密钥。在许多典型的 Express 用例中，未经身份验证的远程攻击者可将攻击负载置于用来访问应用程序的 URL 查询字符串中，例如 a[__proto__]=b&a[__proto__]&a[length]=100000000。此补丁已向后移植到 qs 6.9.7、6.8.3、6.7.3、6.6.1、6.5.3、6.4.1、6.3.3 和 6.2.4（因此 Express 4.17.3 不易受到攻击，因为其版本说明中包含 deps: qs@6.9.7）。(CVE-2022-24999)

  - 在 minimatch 程序包中发现漏洞。当使用特定参数调用 braceExpand 函数时，此缺陷可导致正则表达式拒绝服务 (ReDoS)，进而导致拒绝服务。 (CVE-2022-3517)

  - 低于 14.21.1、16.18.1、18.12.1、19.0.1 的 Node.js 版本中存在操作系统命令注入漏洞，这是因为 IsAllowedHost 检查不充分所致，IsIPAddress 在发出 DBS 请求前未正确检查 IP 地址是否无效，从而导致可轻松绕过该漏洞并允许重新绑定攻击。https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32212 中对此问题的修复不完整，新的 CVE 将完成修复。(CVE-2022-43548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
169724	AlmaLinux 8nodejs:14 (ALSA-2023:0050)	Nessus	Alma Linux Local Security Checks	2023/1/10	2025/1/13	critical
173777	RHEL 8：nodejs: 14 (RHSA-2023: 1533)	Nessus	Red Hat Local Security Checks	2023/4/2	2024/11/7	critical
184632	Rocky Linux 8nodejs:14 (RLSA-2023:0050)	Nessus	Rocky Linux Local Security Checks	2023/11/6	2023/11/6	critical

检测

插件搜索

critical

critical

critical