Node.js：所有低于 Node.js 6.15.0、8.14.0、10.14.0 和 11.3.0 的版本：带有大型 HTTP 标头的拒绝服务：通过使用拥有最大大小标头的许多请求的组合（每个连接约 80 KB），仔细定时标头的完成，有可能造成 HTTP 服务器因堆分配失败而中止。可使用负载平衡器或其他代理层缓解潜在攻击。(CVE-2018-12121) 发现来自 Node.js 的 http 模块可接受错误的内容-长度值，包含所在 HTTP 标头中值内的空格。特别构建的客户端可使用此缺陷来潜在迷惑脚本，造成不明行为。(CVE-2018-7159)

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2018:2949 公告中提及的多个漏洞影响。

  - nodejs：HTTP 解析器允许 Content-Length 标头值内的空格 (CVE-2018-7159)

  - nodejs：Inspector DNS 重新绑定漏洞 (CVE-2018-7160)

  - nodejs：通过导致提供 http2 服务器的节点服务器崩溃来造成拒绝服务 (DoS) (CVE-2018-7161)

  - nodejs：通过使用特别构建的参数调用 Buffer.fill() 或 Buffer.alloc() 造成拒绝服务 (CVE-2018-7167)

  - nodejs：通过 UCS-2 编码发生超界 (OOB) 写入 (CVE-2018-12115) 

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 当前所有 Node.js 版本中的 HTTP 解析器会忽略“Content-Length”标头中的空格从而允许将例如“Content-Length: 1 2”的输入解释为值“12”。HTTP 规范不允许“Content-Length”值中存在空格，而 Node.js HTTP 解析器保留了这个特定差异。此缺陷对 Node.js 用户的安全风险可视为非常低，通过提供不正确的“Content-Length”值尚未实现的方式来利用此缺陷构建攻击非常困难，甚至不存在可能性。
    相较于所提供数据的实际长度，用户代码可能会对此值的潜在准确性做出错误假设，从而存在漏洞。建议构建低级别 HTTP 实用工具的 Node.js 用户在解析完成后，重新检查所提供的任何输入的长度。
    (CVE-2018-7159)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

运行版本 CORE 5.04 / MAIN 5.04 的远程 NewStart CGSL 主机安装有受多个漏洞影响的 http-parser 程序包：- 所有 Node.js 的当前版本中的 HTTP 解析器忽略“内容长度”标头中的空格，允许将例如“内容长度：1 2”的输入解释为值“12”。HTTP 规范在“内容长度”值中不允许空格，Node.js HTTP 解析器专门用于统一该差异。此缺陷对 Node.js 用户的安全风险极低，因为几乎难以或不可能实施攻击，通过提供错误的“内容长度”值这种方式尚无法实现对此缺陷的利用。与提供的数据的实际长度相比，对此值的可能准确性做出错误假设的用户代码中可能存在漏洞。建议利用低级 HTTP 实用工具的 Node.js 用户重新检查解析完成后提供的任何输入的长度。(CVE-2018-7159) - Node.js：Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：具有大型 HTTP 标头拒绝服务：通过使用具有最大尺寸标头（每个连接约 80 KB）的许多请求和仔细计算完成时间的标头，有可能造成 HTTP 服务器因堆分配故障而中止。使用负载均衡器或其他代理层可缓解潜在攻击。(CVE-2018-12121) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

http-parser 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。http-parser 程序包会提供一个实用工具，可用来解析 HTTP 消息。它会同时解析请求和响应。解析器专门设计用于效能 HTTP 应用程序。它不会进行任何系统调用或配置，不会缓冲数据，而且可以随时中断。视具体架构而定，它的每个消息流只需要大约 40 个字节的数据。安全修复：* nodejs：具有大型 HTTP 标头拒绝服务 (CVE-2018-12121) * nodejs：HTTP 解析器允许 Content-Length 标头值内的空间 (CVE-2018-7159) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。更多变更：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.7 发行说明。

在 Node.js 代码中发现以下缺陷：发送至 Node.js 服务器的特别构建 HTTP 请求无法正确处理 HTTP 标头，从而导致请求走私攻击。如果 Node.js 服务器部署在重用连接的代理服务器后面，则攻击者可利用此缺陷更改以经验证用户身份发送的请求。(CVE-2019-15605)

Node.js：Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：具有大型 HTTP 标头拒绝服务：通过使用具有最大尺寸标头（每个连接约 80 KB）的许多请求和仔细计算完成时间的标头，有可能造成 HTTP 服务器因堆分配故障而中止。可使用负载均衡器或其他代理层缓解潜在攻击。(CVE-2018-12121)

据发现，来自 Node.js 的 http 模块可接受错误的内容-长度值，其中包含 HTTP 标头中的值内的空格。特别构建的客户端可能使用此缺陷来迷惑脚本，造成不明行为。(CVE-2018-7159)

Node.js 所有当前版本中的 HTTP 解析器都会忽略“Content-Length”标头中的空格，造成类似于“Content Length 的输入: 1 2”的输入被解释成值为“12”的情况。HTTP 规范不允许“Content-Length”值中存在空格，而 Node.js HTTP 解析器保留了这个特定差异。此缺陷对 Node.js 用户的安全风险可视为非常低，通过提供不正确的“Content-Length”值尚未实现的方式来利用此缺陷构建攻击非常困难，甚至不存在可能性。相较于所提供数据的实际长度，用户代码可能会对此值的潜在准确性做出错误假设，从而存在漏洞。建议构建低级别 HTTP 实用工具的 Node.js 用户在解析完成后，重新检查所提供的任何输入的长度。(CVE-2018-7159) 影响 BIG-IP 根据 CVE-2018-7159，不可能通过提供不正确的“Content-Length”值尚未实现的方式来利用此缺陷构建攻击。但当该缺陷受到利用时，可能会造成受影响的 Node.js 组件出现意外行为。BIG-IQ、F5 iWorkflow、Enterprise Manager 和 Traffix SDC 不存在影响；这些 F5 产品未受到此漏洞影响。

远程主机上安装的 Node.js 版本为低于 4.9.0 的 4.x、低于 6.14.0 的 6.x、低于 8.11.0 的 8.x 或低于 9.10.0 的 9.x。因此，该应用程序受到多个漏洞的影响。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

安全修复：- nodejs：使用大型 HTTP 标头拒绝服务 (CVE-2018-12121) - nodejs：HTTP 解析器允许 Content-Length 标头值内的空格 (CVE-2018-7159)

远程 Oracle Linux 7 主机上安装的多个程序包受到 ELSA-2019-2258 公告中提及的多个漏洞影响。

  - Node.js：Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：具有大型 HTTP 标头拒绝服务：通过使用具有最大尺寸标头（每个连接约 80 KB）的许多请求和仔细计算完成时间的标头，有可能造成 HTTP 服务器因堆分配故障而中止。可使用负载均衡器或其他代理层缓解潜在攻击。(CVE-2018-12121)

  - Node.js 所有当前版本中的 HTTP 解析器都会忽略 `Content-Length` 标头中的空格，造成类似于“Content Length 的输入: 1 2”的输入被解释成值为“12”的情况。HTTP 规范不允许“Content-Length”值中存在空格，而 Node.js HTTP 解析器保留了这个特定差异。此缺陷对 Node.js 用户的安全风险可视为非常低，通过提供不正确的“Content-Length”值尚未实现的方式来利用此缺陷构建攻击非常困难，甚至不存在可能性。
    相较于所提供数据的实际长度，用户代码可能会对此值的潜在准确性做出错误假设，从而存在漏洞。建议构建低级别 HTTP 实用工具的 Node.js 用户在解析完成后，重新检查所提供的任何输入的长度。
    (CVE-2018-7159)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2019:2258 公告中提及的多个漏洞的影响。

  - nodejs：HTTP 解析器允许 Content-Length 标头值内的空格 (CVE-2018-7159)

  - nodejs：具有大型 HTTP 标头拒绝服务 (CVE-2018-12121)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
130219	Amazon Linux 2 : http-parser (ALAS-2019-1322)	Nessus	Amazon Linux Local Security Checks	2019/10/25	2019/12/18	medium
194056	RHEL 7 : rh-nodejs8-nodejs (RHSA-2018:2949)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	high
253310	Linux Distros 未修补的漏洞：CVE-2018-7159	Nessus	Misc.	2025/8/21	2025/8/21	medium
129916	NewStart CGSL CORE 5.04 / MAIN 5.04：http-parser 多个漏洞 (NS-SA-2019-0208)	Nessus	NewStart CGSL Local Security Checks	2019/10/15	2021/1/14	medium
129016	CentOS 7 : http-parser (CESA-2019:2258)	Nessus	CentOS Local Security Checks	2019/9/19	2019/12/27	medium
135935	Amazon Linux AMI：http-parser (ALAS-2020-1359)	Nessus	Amazon Linux Local Security Checks	2020/4/24	2024/12/11	critical
129307	F5 网络 BIG-IP：Node.js 漏洞 (K27228191)	Nessus	F5 Networks Local Security Checks	2019/9/25	2023/11/3	medium
118933	Node.js 多个漏洞（2018 年 3 月安全版本）。	Nessus	Misc.	2018/11/14	2024/1/9	high
128222	Scientific Linux 安全更新：SL7.x x86_64 上的 http-parser	Nessus	Scientific Linux Local Security Checks	2019/8/27	2020/2/24	medium
180827	Oracle Linux 7：http-parser (ELSA-2019-2258)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2024/10/22	medium
127700	RHEL 7：http-parser (RHSA-2019:2258)	Nessus	Red Hat Local Security Checks	2019/8/12	2024/11/6	medium

检测

插件搜索

medium

high

medium

medium

medium

critical

medium

high

medium

medium

medium