运行版本 CORE 5.04 / MAIN 5.04 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 http-parser 程序包：- 所有 Node.js 的当前版本中的 HTTP 解析器忽略“内容长度”标头中的空格，允许将例如“内容长度：1 2”的输入解释为值“12”。HTTP 规范在“内容长度”值中不允许空格，Node.js HTTP 解析器专门用于统一该差异。此缺陷对 Node.js 用户的安全风险极低，因为几乎难以或不可能实施攻击，通过提供错误的“内容长度”值这种方式尚无法实现对此缺陷的利用。与提供的数据的实际长度相比，对此值的可能准确性做出错误假设的用户代码中可能存在漏洞。建议利用低级 HTTP 实用工具的 Node.js 用户重新检查解析完成后提供的任何输入的长度。(CVE-2018-7159) - Node.js：Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：具有大型 HTTP 标头拒绝服务：通过使用具有最大尺寸标头（每个连接约 80 KB）的许多请求和仔细计算完成时间的标头，有可能造成 HTTP 服务器因堆分配故障而中止。使用负载均衡器或其他代理层可缓解潜在攻击。(CVE-2018-12121) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

http-parser 更新现可用于 Red Hat Enterprise Linux 8。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。http-parser 程序包会提供一个实用工具，可用来解析 HTTP 消息。它会同时解析请求和响应。解析器专门设计用于效能 HTTP 应用程序。它不会进行任何系统调用或配置，不会缓冲数据，而且可以随时中断。视具体架构而定，它的每个消息流只需要大约 40 个字节的数据。安全补丁：* nodejs：较大 HTTP 标头造成拒绝服务 (CVE-2018-12121) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。更多变更：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 8.1 发行说明。

远程 Oracle Linux 8 主机上安装的一个程序包受到 ELSA-2019-3497 公告中提及的一个漏洞影响。

  - Node.js：Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：具有大型 HTTP 标头拒绝服务：通过使用具有最大尺寸标头（每个连接约 80 KB）的许多请求和仔细计算完成时间的标头，有可能造成 HTTP 服务器因堆分配故障而中止。可使用负载均衡器或其他代理层缓解潜在攻击。(CVE-2018-12121)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2019:2939 公告中提及的多个漏洞影响。

  - nodejs：具有大型 HTTP 标头拒绝服务 (CVE-2018-12121)

  - nodejs：Slowloris HTTP 拒绝服务 (CVE-2018-12122)

  - nodejs：URL 解析器中用于 javascript 协议的主机名伪造 (CVE-2018-12123)

  - nodejs：未充分修复 Slowloris 可导致通过 server.headersTimeout 绕过造成 DoS (CVE-2019-5737)

  - HTTP/2：大量的数据请求导致拒绝服务 (CVE-2019-9511)

  - HTTP/2：使用 PING 帧的洪流导致无限制内存增长 (CVE-2019-9512)

  - HTTP/2：使用 PRIORITY 帧的洪流导致过度资源消耗 (CVE-2019-9513)

  - HTTP/2：使用 HEADERS 帧的洪流导致过度资源消耗 (CVE-2019-9514)

  - HTTP/2：使用 SETTINGS 帧的洪流导致过度资源消耗 (CVE-2019-9515)

  - HTTP/2：导致拒绝服务的 0 长度标头 (CVE-2019-9516)

  - HTTP/2：请求大量响应导致拒绝服务 (CVE-2019-9517)

  - HTTP/2：使用 empty 帧的洪流导致过度资源消耗 (CVE-2019-9518)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Node.js：所有低于 Node.js 6.15.0、8.14.0、10.14.0 和 11.3.0 的版本：通过大型 HTTP 标头造成拒绝服务：通过使用具有最大尺寸标头（每个连接约 80 KB）的许多请求和仔细计算完成时间的标头，有可能造成 HTTP 服务器因堆分配故障而中止。可使用负载均衡器或其他代理层缓解潜在攻击。(CVE-2018-12121)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Node.js：所有低于 Node.js 6.15.0、8.14.0、10.14.0 和 11.3.0 的版本：带有大型 HTTP 标头的拒绝服务：通过使用拥有最大大小标头的许多请求的组合（每个连接约 80 KB），仔细定时标头的完成，有可能造成 HTTP 服务器因堆分配失败而中止。可使用负载平衡器或其他代理层缓解潜在攻击。(CVE-2018-12121) 发现来自 Node.js 的 http 模块可接受错误的内容-长度值，包含所在 HTTP 标头中值内的空格。特别构建的客户端可使用此缺陷来潜在迷惑脚本，造成不明行为。(CVE-2018-7159)

远程主机上安装的 Node.js 版本为低于 6.15.0 的 6.x、低于 8.14.0 的 8.x、低于 10.14.0 的 10.x 或低于 11.3.0 的 11.x。因此，该应用程序受到多个漏洞的影响。

  - DSA 签名生成中的 OpenSSL 计时漏洞 (CVE-2018-0734)。

  - ECDSA 签名生成中的 OpenSSL 计时漏洞 (CVE-2018-0735)。

  - ECC 纯量乘法中的 OpenSSL 微架构计时漏洞 (CVE-2018-5407)。

  - 调试端口 5858 默认会在任何界面上监听 (CVE-2018-12120)。

  - 具有大型 HTTP 标头拒绝服务 (CVE-2018-12121)。

  - Slowloris HTTP 拒绝服务 (CVE-2018-12122)。

  - URL 解析器中用于 javascript 协议的主机名伪造 (CVE-2018-12123)。

  - HTTP 请求拆分 (CVE-2018-12116)。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

远程主机上安装的 F5 Networks BIG-IP 版本低于 17.1.3 / 17.5.1。因此，该软件受到 K000137090 公告中提及的多个漏洞影响。

    CVE-2018-12121 Node.js：Node.js 6.15.0 之前的所有版本、8.14.0、10.14.0 和 11.3.0：通过大型 HTTP 标头造成拒绝服务：通过使用具有最大标头（每个连接约 80 KB）的许多请求和仔细计算完成时间的标头，有可能造成 HTTP 服务器因堆分配故障而中止。使用负载均衡器或其他代理层可缓解潜在攻击。CVE-2018-12122Node.js：Node.js 6.15.0 之前的所有版本、8.14.0、10.14.0 和 11.3.0：
    Slowloris HTTP 拒绝服务：攻击者可以通过非常缓慢地发送标头来长时间保持 HTTP 或 HTTPS 连接及相关资源处于活动状态，从而导致拒绝服务 (DoS)。CVE-2018-12123 Node.js：Node.js 6.15.0 之前所有版本、8.14.0、10.14.0 和 11.3.0：用于 javascript 协议的 URL 解析器中的主机名欺骗漏洞：如果 Node.js 应用程序使用 url.parse() 来确定 URL 主机名，则攻击者可通过使用大小写混合的 javascript: (如 javaAscript:) 协议来伪装主机名（其他协议不受影响）。如果根据主机名对 URL 做出安全决策，则它们可能不正确。

Tenable 直接从 F5 Networks BIG-IP 安全公告中提取了前面的描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

安全修复：- nodejs：使用大型 HTTP 标头拒绝服务 (CVE-2018-12121) - nodejs：HTTP 解析器允许 Content-Length 标头值内的空格 (CVE-2018-7159)

远程 Oracle Linux 7 主机上安装的多个程序包受到 ELSA-2019-2258 公告中提及的多个漏洞影响。

  - Node.js：Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：具有大型 HTTP 标头拒绝服务：通过使用具有最大尺寸标头（每个连接约 80 KB）的许多请求和仔细计算完成时间的标头，有可能造成 HTTP 服务器因堆分配故障而中止。可使用负载均衡器或其他代理层缓解潜在攻击。(CVE-2018-12121)

  - Node.js 所有当前版本中的 HTTP 解析器都会忽略 `Content-Length` 标头中的空格，造成类似于“Content Length 的输入: 1 2”的输入被解释成值为“12”的情况。HTTP 规范不允许“Content-Length”值中存在空格，而 Node.js HTTP 解析器保留了这个特定差异。此缺陷对 Node.js 用户的安全风险可视为非常低，通过提供不正确的“Content-Length”值尚未实现的方式来利用此缺陷构建攻击非常困难，甚至不存在可能性。
    相较于所提供数据的实际长度，用户代码可能会对此值的潜在准确性做出错误假设，从而存在漏洞。建议构建低级别 HTTP 实用工具的 Node.js 用户在解析完成后，重新检查所提供的任何输入的长度。
    (CVE-2018-7159)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2019:2258 公告中提及的多个漏洞的影响。

  - nodejs：HTTP 解析器允许 Content-Length 标头值内的空格 (CVE-2018-7159)

  - nodejs：具有大型 HTTP 标头拒绝服务 (CVE-2018-12121)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

http-parser 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。http-parser 程序包会提供一个实用工具，可用来解析 HTTP 消息。它会同时解析请求和响应。解析器专门设计用于效能 HTTP 应用程序。它不会进行任何系统调用或配置，不会缓冲数据，而且可以随时中断。视具体架构而定，它的每个消息流只需要大约 40 个字节的数据。安全修复：* nodejs：具有大型 HTTP 标头拒绝服务 (CVE-2018-12121) * nodejs：HTTP 解析器允许 Content-Length 标头值内的空间 (CVE-2018-7159) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。更多变更：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.7 发行说明。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2019: 3497 公告中提及的漏洞的影响。

  - nodejs：大型 HTTP 标头导致拒绝服务 (CVE-2018-12121)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机受到 GLSA-202003-48 中所述漏洞的影响（Node.js：多个漏洞）

    已在 Node.js 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可能编写任意文件，造成拒绝服务情况或展开 HTTP 请求拆分攻击。
  变通方案：

    目前无任何已知的变通方案。

在 Node.js 代码中发现以下缺陷：发送至 Node.js 服务器的特别构建 HTTP 请求无法正确处理 HTTP 标头，从而导致请求走私攻击。如果 Node.js 服务器部署在重用连接的代理服务器后面，则攻击者可利用此缺陷更改以经验证用户身份发送的请求。(CVE-2019-15605)

Node.js：Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：具有大型 HTTP 标头拒绝服务：通过使用具有最大尺寸标头（每个连接约 80 KB）的许多请求和仔细计算完成时间的标头，有可能造成 HTTP 服务器因堆分配故障而中止。可使用负载均衡器或其他代理层缓解潜在攻击。(CVE-2018-12121)

据发现，来自 Node.js 的 http 模块可接受错误的内容-长度值，其中包含 HTTP 标头中的值内的空格。特别构建的客户端可能使用此缺陷来迷惑脚本，造成不明行为。(CVE-2018-7159)

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2019:1821 公告中提及的多个漏洞影响。

  - nodejs：HTTP 请求拆分 (CVE-2018-12116)

  - nodejs：具有大型 HTTP 标头拒绝服务 (CVE-2018-12121)

  - nodejs：Slowloris HTTP 拒绝服务 (CVE-2018-12122)

  - nodejs：URL 解析器中用于 javascript 协议的主机名伪造 (CVE-2018-12123)

  - nodejs-tar：提取包含硬链接的 tarball 时发生任意文件覆盖 (CVE-2018-20834)

  - nodejs：未充分修复 Slowloris 可导致通过 server.headersTimeout 绕过造成 DoS (CVE-2019-5737)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
129916	NewStart CGSL CORE 5.04 / MAIN 5.04：http-parser 多个漏洞 (NS-SA-2019-0208)	Nessus	NewStart CGSL Local Security Checks	2019/10/15	2021/1/14	medium
130545	RHEL 8 : http-parser (RHSA-2019:3497)	Nessus	Red Hat Local Security Checks	2019/11/6	2024/11/7	high
180698	Oracle Linux 8：http-parser (ELSA-2019-3497)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	high
194000	RHEL 7 : rh-nodejs10-nodejs (RHSA-2019:2939)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/6	medium
252634	Linux Distros 未修补的漏洞：CVE-2018-12121	Nessus	Misc.	2025/8/20	2025/9/2	high
130219	Amazon Linux 2 : http-parser (ALAS-2019-1322)	Nessus	Amazon Linux Local Security Checks	2019/10/25	2019/12/18	medium
119938	Node.js 多个漏洞（2018 年 11 月安全版本）	Nessus	Misc.	2018/12/28	2024/1/9	high
182422	F5 Networks BIG-IP：Node.js 漏洞 (K000137090)	Nessus	F5 Networks Local Security Checks	2023/10/2	2025/10/15	medium
128222	Scientific Linux 安全更新：SL7.x x86_64 上的 http-parser	Nessus	Scientific Linux Local Security Checks	2019/8/27	2020/2/24	medium
180827	Oracle Linux 7：http-parser (ELSA-2019-2258)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	medium
127700	RHEL 7：http-parser (RHSA-2019:2258)	Nessus	Red Hat Local Security Checks	2019/8/12	2024/11/6	medium
129016	CentOS 7 : http-parser (CESA-2019:2258)	Nessus	CentOS Local Security Checks	2019/9/19	2019/12/27	medium
145594	CentOS 8：http-parser (CESA-2019: 3497)	Nessus	CentOS Local Security Checks	2021/1/29	2021/3/23	high
134776	GLSA-202003-48：Node.js：多个漏洞	Nessus	Gentoo Local Security Checks	2020/3/23	2024/3/21	critical
135935	Amazon Linux AMI：http-parser (ALAS-2020-1359)	Nessus	Amazon Linux Local Security Checks	2020/4/24	2024/12/11	critical
193999	RHEL 7 : rh-nodejs8-nodejs (RHSA-2019:1821)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/7	high

检测

插件搜索

medium

high

high

medium

high

medium

high

medium

medium

medium

medium

medium

high

critical

critical

high