The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2020:2625 advisory.

    Node.js is a software development platform for building fast and scalable network applications in the     JavaScript programming language.

    The following packages have been upgraded to a later upstream version: rh-nodejs8-nodejs (8.17.0).
    (BZ#1829414)

    Security Fix(es):

    * nodejs-brace-expansion: Regular expression denial of service (CVE-2017-18077)

    * nodejs-chownr: TOCTOU vulnerability in `chownr` function in chownr.js (CVE-2017-18869)

    * nodejs-sshpk: ReDoS when parsing crafted invalid public keys in lib/formats/ssh.js (CVE-2018-3737)

    * nodejs-deep-extend: Prototype pollution can allow attackers to modify object properties (CVE-2018-3750)

    * npm: Symlink reference outside of node_modules folder through the bin field upon installation     (CVE-2019-16775)

    * npm: Arbitrary file write via constructed entry in the package.json bin field (CVE-2019-16776)

    * npm: Global node_modules Binary Overwrite (CVE-2019-16777)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - A TOCTOU issue in the chownr package before 1.1.0 for Node.js 10.10 could allow a local attacker to trick     it into descending into unintended directories via symlink attacks. (CVE-2017-18869)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Node.js 10.10 用の 1.1.0 より前の chownr パッケージに存在する TOCTOU の問題により、ローカルの攻撃者がこれを騙して、シンボリックリンク攻撃を介して、意図しないディレクトリに降下する可能性があります。CVE-2017-18869

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 1.1.0 之前 Node.js 10.10 的 chownr 套件中的 TOCTOU 問題可允許本機攻擊者透過符號連結攻擊誘騙其進入非預定目錄。 (CVE-2017-18869)

請注意，Nessus 依賴供應商報告的套件存在。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 2625 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - nodejs-brace-expansion: 正規表現のサービス拒否 (CVE-2017-18077)

  - nodejs-chownr: chownr.js の「chownr」関数における TOCTOU の脆弱性 (CVE-2017-18869)

  - nodejs-sshpk: lib/formats/ssh.js で細工された無効な公開鍵を解析する際の ReDoS (CVE-2018-3737)

  - nodejs-deep-extend: プロトタイプ汚染は、攻撃者がオブジェクトのプロパティを変更することを可能にします（CVE-2018-3750）

  - npm: インストール時のnode_modulesフォルダーの外側からbinフィールドまでのSymlink参照（CVE-2019-16775）

  - npm: package.json binフィールドの構築済みエントリを介した任意ファイルの書き込み（CVE-2019-16776）

  - npm: グローバルなnode_modulesのバイナリ上書き（CVE-2019-16777）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 2625 公告中提及的漏洞的影响。

  - nodejs-brace-expansion：正则表达式拒绝服务 (CVE-2017-18077)

  - nodejs-chownr：chownr.js 的 `chownr` 函数中的 TOCTOU 漏洞 (CVE-2017-18869)

  - nodejs-sshpk：在 lib/formats/ssh.js 中解析构建的无效公钥时发生 ReDoS (CVE-2018-3737)

  - nodejs-deep-extend：原型污染可允许攻击者修改对象属性 (CVE-2018-3750)

  - npm：安装后通过 bin 字段来符号链接 node_modules 文件夹外的引用 (CVE-2019-16775)

  - npm：通过 package.json bin 字段中的构建条目写入任意文件 (CVE-2019-16776)

  - npm：全局 node_modules 二进制覆盖 (CVE-2019-16777)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Node.js 10.10 ] 的 1.1.0 之前的 chownr 程序包中存在 TOCTOU 问题可导致本地攻击者通过符号链接攻击诱骗其下降至非预期目录。 (CVE-2017-18869)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 2625 公告中提及的多個弱點影響。

  - nodejs-brace-expansion：規則運算式拒絕服務 (CVE-2017-18077)

  - nodejs-chownr：chownr.js 的「chownr」函式中的 TOCTOU 弱點 (CVE-2017-18869)

  - nodejs-sshpk：剖析 lib/formats/ssh.js 中特製的無效公開金鑰時發生 ReDoS (CVE-2018-3737)

  - nodejs-deep-extend：原型污染允許攻擊者修改物件屬性 (CVE-2018-3750)

  - npm：安裝時，透過 bin 欄位在 node_modules 資料夾外部發生符號連結參照 (CVE-2019-16775)

  - npm：在 package.json bin 欄位，透過建構的項目，發生任意檔案寫入 (CVE-2019-16776)

  - npm：全域 node_modules 二進位覆寫 (CVE-2019-16777)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
170350	RHEL 7 : rh-nodejs8-nodejs (RHSA-2020:2625)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/11/7	critical
251489	Linux Distros Unpatched Vulnerability : CVE-2017-18869	Nessus	Misc.	2025/8/18	2025/8/18	low
251489	Linux Distros のパッチ未適用の脆弱性: CVE-2017-18869	Nessus	Misc.	2025/8/18	2025/8/18	low
251489	Linux Distros 未修補的弱點：CVE-2017-18869	Nessus	Misc.	2025/8/18	2025/8/18	low
170350	RHEL 7: rh-nodejs8-nodejs (RHSA-2020: 2625)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/11/7	critical
170350	RHEL 7：rh-nodejs8-nodejs (RHSA-2020: 2625)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/11/7	critical
251489	Linux Distros 未修补的漏洞：CVE-2017-18869	Nessus	Misc.	2025/8/18	2025/8/18	low
170350	RHEL 7：rh-nodejs8-nodejs (RHSA-2020: 2625)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/11/7	critical

检测

插件搜索

critical

low

low

low

critical

critical

low

critical