リモート Redhat Enterprise Linux 9 ホストに、RHSA-2024:2779 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Node.js は、高速でスケーラブルなネットワークアプリケーションを JavaScript プログラミング言語でビルドするためのソフトウェア開発プラットフォームです。

    セキュリティ修正プログラム：

    * nodejs: CONTINUATION フレームの DoS (CVE-2024-27983)

    * nodejs: fetch() 関数を使用して信頼できない URL からコンテンツを取得する場合に発生するサービス拒否 (CVE-2024-22025)

    * nodejs: コンテンツ長さ難読化による HTTP リクエストのスマグリング (CVE-2024-27982)

    * nghttp2: CONTINUATION フレームの DoS (CVE-2024-28182)

    * c-ares: ares__read_line() の領域外読み取り (CVE-2024-25629)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのAlmaLinux 8ホストには、ALSA-2024:2780アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * nodejs: CONTINUATION フレームの DoS (CVE-2024-27983)
    * nodejs: fetch() 関数を使用して信頼できない URL からコンテンツを取得する場合に発生するサービス拒否 (CVE-2024-22025)
    * nodejs: コンテンツ長さ難読化による HTTP リクエストのスマグリング (CVE-2024-27982)
    * nghttp2: CONTINUATION フレームの DoS (CVE-2024-28182)
    * c-ares: ares__read_line() の領域外読み取り (CVE-2024-25629)

Tenableは、前述の記述ブロックをAlmaLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのAlmaLinux 8ホストには、ALSA-2024:2778アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * c-ares: ares__read_line() の領域外読み取り (CVE-2024-25629)
    * nghttp2: CONTINUATION フレームの DoS (CVE-2024-28182)
    * nodejs: fetch() 関数を使用して信頼できない URL からコンテンツを取得する場合に発生するサービス拒否 (CVE-2024-22025)
    * nodejs: CONTINUATION フレームの DoS (CVE-2024-27983)
    * nodejs: コンテンツ長さ難読化による HTTP リクエストのスマグリング (CVE-2024-27982)

Tenableは、前述の記述ブロックをAlmaLinuxセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 9 ホストに、ELSA-2024-2910アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    [1:16.20.2-8.0.1]
    - CVE-2024-28182、CVE-2024-22025、CVE-2024-25629、CVE-2024-27982、CVE-2024-27983 の修正

Tenable は、前述の記述ブロックを Oracle Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2024:4353 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Node.js は、高速でスケーラブルなネットワークアプリケーションを JavaScript プログラミング言語でビルドするためのソフトウェア開発プラットフォームです。

    セキュリティ修正プログラム：

    * nodejs/16: CONTINUATION フレームの DoS (CVE-2024-27983)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートホストにインストールされている Tenable.ad のバージョンは、3.59.5 より前です。したがって、TNS-2024-11 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - POLY1305 MAC (メッセージ認証コード) の実装にバグが含まれており、AVX512-IFMA 命令をサポートする新しい X86_64 プロセッサーで実行する際に、Windows 64 プラットフォーム上のアプリケーションの内部状態を破損する可能性があります。影響の概要: OpenSSL ライブラリを使用するアプリケーションで、攻撃者が POLY1305 MAC アルゴリズムの使用に影響を及ぼすことができる場合、アプリケーションの状態が破損し、アプリケーションに関連するさまざまな結果が生じる可能性があります。OpenSSL での POLY1305 MAC (メッセージ認証コード) の実装は、64 バイトを超えるデータの MAC 計算の際、Windows 64 プラットフォームで不揮発性 XMM レジスタの内容を保存しません。以前の内容を復元するのではなく、すべての XMM レジスタがゼロに設定されてから呼び出し元に戻ります。脆弱なコードは、AVX512-IFMA 命令をサポートする最新の x86_64 プロセッサーでのみ使用されています。この種の内部アプリケーション状態の破損の結果は、呼び出し元のアプリケーションが不揮発性 XMM レジスタの内容にまったく依存しない場合に発生しない場合から、攻撃者がアプリケーションを完全にコントロールしてしまう最悪の場合まで、さまざまなものになります。ただし、レジスタの内容がゼロ化されるだけであり、攻撃者が内部に任意の値を入れることができないため、最も想定されるのは、アプリケーションに依存する計算結果の誤り、あるいはクラッシュによるサービス拒否の発生です。 POLY1305 MAC アルゴリズムは、CHACHA20-POLY1305 AEAD (Authenticated Encryption with associated data) アルゴリズムの一部として最もよく使用されます。この AEAD 暗号は、TLS プロトコルバージョン 1.2 および 1.3 で最もよく使用されており、悪意のあるクライアントが、この AEAD 暗号をサーバーで使用するかどうかに影響を与える可能性があります。これは、OpenSSL を使用するサーバーアプリケーションに影響する可能性があることを示します。ただし、現時点でこの問題の影響を受ける具体的なアプリケーションが特定されていないため、これを重要度低のセキュリティ問題と見なしています。回避策として、環境変数 OPENSSL_ia32cap: OPENSSL_ia32cap=:~0x200000 を設定することによって AVX512-IFMA 命令サポートをランタイムで無効にできます: FIPS プロバイダーはこの問題の影響を受けません。
    (CVE-2023-4807)

  - Envoy は、クラウドネイティブなオープンソースのエッジおよびサービスプロキシです。Brotli フィルターを使用する Envoyproxy では、追加入力を伴う Brotli データの展開中に、無限ループに陥る可能性があります。(CVE-2024-32976)

  - Envoy は、クラウドネイティブなオープンソースのエッジおよびサービスプロキシです。Envoy は、ミラー応答からのメモリ不足 (OOM) ベクトルを公開していました。これは、非同期 HTTP クライアントが無限バッファで応答をバッファリングするためです。
    (CVE-2024-34364)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 攻撃者は、数個の HTTP/2 フレームを含んだ少量の HTTP/2 フレームパケットを送信することで、Node.js HTTP/2 サーバーを完全に利用不能にすることができます。リセット後に HTTP/2 CONTINUATION フレームのあるヘッダーがサーバーに送信され、TCP 接続がクライアントにより突然閉じられた場合、nghttp2 メモリに一部のデータを残すことが可能です。これにより、ヘッダーフレームの処理中 (およびメモリに保存中) に Http2Session デストラクターがトリガーされ、競合状態が発生します。(CVE-2024-27983)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Debian 12 ホストには、dsa-5991 アドバイザリで言及されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

    - -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-5991-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 8 月 29 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    パッケージnodejs CVE ID CVE-2023-46809 CVE-2024-21892 CVE-2024-22019 CVE-2024-22020 CVE-2024-22025 CVE-2024-27982 CVE-2024-27983 CVE-2025-47153

    Node.js に複数の脆弱性が見つかりました。これにより、サービス拒否、HTTP リクエストスマグリング、権限昇格、 PKCS#1 1.5 に対するサイドチャネル攻撃、またはネットワークインポート制限のバイパスが発生する可能性があります。

    旧安定版oldstableディストリビューションbookword では、これらの問題はバージョン 18.20.4+dfsg-1~deb12u1 で修正されています。

    お使いの nodejs パッケージをアップグレードすることを推奨します。

    nodejs の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください。
    https://security-tracker.debian.org/tracker/nodejs

    Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

    メーリングリスト: debian-security-announce@lists.debian.org

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

因此，它受到 ALAS2023-2024-594 公告中提及的多个漏洞影响。

    2024-06-19：已将 CVE-2024-27982 添加到此公告中。

    注意：https://nodejs.org/en/blog/vulnerability/april-2024-security-releases/ (CVE-2024-27982)

    攻击者可通过发送少量内部带有少量 HTTP/2 框架的 HTTP/2 框架数据包，使 Node.js HTTP/2 服务器完全不可用。如果采用 HTTP/2 CONTINUATION 框架的标头被发送到服务器，即使被重置，nghttp2 内存中仍可能留下一些数据；如果 TCP 连接被触发 Http2Session 析构函数的客户端突然关闭并且标头框架仍在处理中（存储在内存中），则可能导致争用情形。(CVE-2024-27983)

    nghttp2 是根据超文本传输协议版本 2，以 C 语言编写的库。版本 1.61.0 之前的 nghttp2 库会不断读取无限数量的 HTTP/2 CONTINUATION 帧，即使为了保持 HPACK 上下文同步以重置流之后也是如此。这会造成解码 HPACK 流时占用过多 CPU。nghttp2 v1.61.0 通过限制接受的每个流的 CONTINUATION 帧数量来缓解此漏洞。
    目前尚无针对此漏洞的变通方案。(CVE-2024-28182)

    Undici 是专为 Node.js 从头编写的 HTTP/1.1 客户端。攻击者可以修改传递给“fetch()”的“integrity”选项，从而允许“fetch()”在请求被篡改的情况下仍可接受有效请求。此漏洞已在 5.28.4 和 6.11.1 版本中修补。(CVE-2024-30261)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2024:2779 公告中提及的多个漏洞影响。

    Node.js 是个软件开发平台，可使用 JavaScript 编程语言构建快速且可扩展的网络应用程序。

    安全修复：

    * nodejs：CONTINUATION 框架 DoS (CVE-2024-27983)

    * nodejs：使用 fetch() 函数从不受信任的 URL 检索内容会导致拒绝服务攻击 (CVE-2024-22025)

    * nodejs：因内容长度混淆引起的 HTTP 请求走私问题 (CVE-2024-27982)

    * nghttp2：CONTINUATION 框架 DoS (CVE-2024-28182)

    * c-ares：ares__read_line() 中存在越界读取漏洞 (CVE-2024-25629)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 8 主机上存在安装的程序包该程序包受到 ALSA-2024:2780 公告中提及的多个漏洞的影响。

    * nodejs：CONTINUATION 框架 DoS (CVE-2024-27983)
    * nodejs：使用 fetch() 函数从不受信任的 URL 检索内容会导致拒绝服务攻击 (CVE-2024-22025)
    * nodejs：因内容长度混淆引起的 HTTP 请求走私问题 (CVE-2024-27982)
    * nghttp2：CONTINUATION 框架 DoS (CVE-2024-28182)
    * c-ares：ares__read_line() 中存在越界读取漏洞 (CVE-2024-25629)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 AlmaLinux 8 主机上存在安装的程序包该程序包受到 ALSA-2024:2778 公告中提及的多个漏洞的影响。

    * c-ares：ares__read_line() 中存在越界读取漏洞 (CVE-2024-25629)
    * nghttp2：CONTINUATION 框架 DoS (CVE-2024-28182)
    * nodejs：使用 fetch() 函数从不受信任的 URL 检索内容会导致拒绝服务攻击 (CVE-2024-22025)
    * nodejs：CONTINUATION 框架 DoS (CVE-2024-27983)
    * nodejs：因内容长度混淆引起的 HTTP 请求走私问题 (CVE-2024-27982)

Tenable 已直接从 AlmaLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的程序包受到 ELSA-2024-2910 公告中提及的多个漏洞的影响。

    [1:16.20.2-8.0.1]
    - 修复 CVE-2024-28182、CVE-2024-22025、CVE-2024-25629、CVE-2024-27982、CVE-2024-27983

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的多个程序包受到 RHSA-2024:4353 公告中提及的一个漏洞影响。

    Node.js 是个软件开发平台，可使用 JavaScript 编程语言构建快速且可扩展的网络应用程序。

    安全修复：

    * nodejs/16：CONTINUATION 框架 DoS (CVE-2024-27983)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Tenable.ad 版本低于 3.59.5。因此，它受到 TNS-2024-11 公告中提及的多个漏洞影响。

  - POLY1305 MAC（消息验证代码）实现中有一个缺陷，当在支持 AVX512-IFMA 指令的新版 X86_64 处理器上运行时，该缺陷可能会损坏 Windows 64 平台上应用程序的内部状态。影响汇总：如在使用 OpenSSL 库的应用程序中，攻击者可对是否使用 POLY1305 MAC 算法产生影响，则应用程序状态可能会被破坏，同时还会产生与应用程序相关的各种后果。在计算大于 64 个字节的数据的 MAC 时，OpenSSL 中的 POLY1305 MAC（消息验证代码）实现中不会保存 Windows 64 平台上非易失性 XMM 寄存器中的内容。在返回给调用程序之前，所有 XMM 寄存器都会设置为零，而不是恢复其先前的内容。易受攻击的代码仅可在支持 AVX512-IFMA 指令的新版 x86_64 处理器上使用。这种内部应用程序状态损坏的后果可能多种多样，可能是没有任何后果（如果调用应用程序根本不依赖于非易失性 XMM 寄存器中的内容），也可能是最糟糕的后果（攻击者可以完全控制应用程序进程。然而，由于寄存器的内容只是归零，因此攻击者无法在其中注入任意值，最可能出现的后果（如有）就是：与应用程序相关的错误计算结果或导致拒绝服务的崩溃情形。POLY1305 MAC 算法最常用作 CHACHA20-POLY1305 AEAD（含有相关数据，且经验证的加密模式）算法的一部分。此 AEAD 加密最常见的用法是与 TLS 协议版本 1.2 和 1.3 一起使用，而恶意客户端可对服务器是否使用此 AEAD 加密造成影响。这意味着使用 OpenSSL 的服务器应用程序可能会受到影响。然而，我们目前并未发现任何具体的应用程序会受到此问题的影响，因此我们认为这是一个低危安全问题。作为变通方案，可以设置环境变量 OPENSSL_ia32cap: OPENSSL_ia32cap=:~0x200000，以在运行时禁用 AVX512-IFMA。FIPS 提供程序不受此问题的影响。
    (CVE-2023-4807)

  - Envoy 是一个云原生开源连线和服务代理。具有 Brotli 过滤器的 Envoyproxy 可能会在解压缩包含额外输入内容的 Brotli 数据时进入死循环。(CVE-2024-32976)

  - Envoy 是一个云原生开源连线和服务代理。Envoy 受到镜像响应中的一个内存不足 (OOM) 向量的影响，因为异步 HTTP 客户端将使用无限制的缓冲区缓冲响应。
    (CVE-2024-34364)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 攻击者可通过发送少量内部带有少量 HTTP/2 框架的 HTTP/2 框架数据包，使 Node.js HTTP/2 服务器完全不可用。如果采用 HTTP/2 CONTINUATION 框架的标头被发送到服务器，即使被重置，nghttp2 内存中仍可能留下一些数据；如果 TCP 连接被触发 Http2Session 析构函数的客户端突然关闭并且标头框架仍在处理中（存储在内存中），则可能导致争用情形。(CVE-2024-27983)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 12 主机上存在安装的程序包该程序包受到 dsa-5991 公告中提及的多个漏洞的影响。

    - ------------------------------------------------- ------------------------ Debian 安全公告 DSA-5991-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2025 年 8 月 29 日 https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    程序包nodejs CVE ID CVE-2023-46809 CVE-2024-21892 CVE-2024-22019 CVE-2024-22020 CVE-2024-22025 CVE-2024-27982 CVE-2024-27983 CVE-2025-47153

    在 Node.js 中发现多个漏洞可能导致拒绝服务、HTTP 请求走私、权限升级、针对 PKCS#1 1.5 的边信道攻击或绕过网络导入限制。

    对于旧稳定发行版本 (bookbird)已在版本 18.20.4+dfsg-1~deb12u1 中修复这些问题。

    我们建议您升级 nodejs 程序包。

    如需了解 nodejs 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/nodejs

    有关 Debian 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://www.debian.org/security/

    邮件列表：debian-security-announce@lists.debian.org

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
195196	RHEL 9 : nodejs:18 (RHSA-2024:2779)	Nessus	Red Hat Local Security Checks	2024/5/9	2025/4/30	medium
195204	AlmaLinux 8nodejs:18ALSA-2024:2780	Nessus	Alma Linux Local Security Checks	2024/5/9	2025/2/6	medium
195207	AlmaLinux 8nodejs:20ALSA-2024:2778	Nessus	Alma Linux Local Security Checks	2024/5/9	2025/2/6	medium
197734	Oracle Linux 9 : nodejs (ELSA-2024-2910)	Nessus	Oracle Linux Local Security Checks	2024/5/23	2025/9/11	medium
201942	RHEL 8 : nodejs:16 (RHSA-2024:4353)	Nessus	Red Hat Local Security Checks	2024/7/8	2024/11/7	high
201946	Tenable.ad < 3.59.5 複数の脆弱性 (TNS-2024-11)	Nessus	Misc.	2024/7/8	2025/2/13	high
228098	Linux Distros のパッチ未適用の脆弱性: CVE-2024-27983	Nessus	Misc.	2025/3/5	2025/9/29	high
258117	Debian dsa-5991 : libnode-dev - セキュリティ更新	Nessus	Debian Local Security Checks	2025/8/29	2025/8/29	high
194485	Amazon Linux 2023：nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2024-594)	Nessus	Amazon Linux Local Security Checks	2024/4/29	2024/12/20	low
195196	RHEL 9：nodejs:18 (RHSA-2024:2779)	Nessus	Red Hat Local Security Checks	2024/5/9	2025/4/30	medium
195204	AlmaLinux 8nodejs:18 (ALSA-2024:2780)	Nessus	Alma Linux Local Security Checks	2024/5/9	2025/2/6	medium
195207	AlmaLinux 8nodejs:20 (ALSA-2024:2778)	Nessus	Alma Linux Local Security Checks	2024/5/9	2025/2/6	medium
197734	Oracle Linux 9：nodejs (ELSA-2024-2910)	Nessus	Oracle Linux Local Security Checks	2024/5/23	2025/9/11	medium
201942	RHEL 8：nodejs:16 (RHSA-2024:4353)	Nessus	Red Hat Local Security Checks	2024/7/8	2024/11/7	high
201946	Tenable.ad < 3.59.5 多个漏洞 (TNS-2024-11)	Nessus	Misc.	2024/7/8	2025/2/13	high
228098	Linux Distros 未修补的漏洞：CVE-2024-27983	Nessus	Misc.	2025/3/5	2025/9/29	high
258117	Debian dsa-5991libnode-dev - 安全更新	Nessus	Debian Local Security Checks	2025/8/29	2025/8/29	high

检测

插件搜索

medium

medium

medium

medium

high

high

high

high

low

medium

medium

medium

medium

high

high

high

high