远程主机上安装的 Node.js 版本为低于 4.9.0 的 4.x、低于 6.14.0 的 6.x、低于 8.11.0 的 8.x 或低于 9.10.0 的 9.x。因此，该应用程序受到多个漏洞的影响。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

远程 Ubuntu 16.04 ESM / 18.04 ESM 主机上安装的多个程序包受到 USN-4796-1 公告中提及的多个漏洞影响。

  - 0.10.47 之前的 Node.js 0.10.x、0.12.16 之前的 0.12.x、4.6.0 之前的 4.x 和 6.7.0 之前的 6.x 中 tls.checkServerIdentity 函数未正确处理 X.509 证书名称字段中的通配符，这使得中间人攻击者可以通过精心设计的证书来欺骗服务器。(CVE-2016-7099)

  - 如果传入的 DNS 响应数据包是以特定方式构建，可触发用于解析 NAPTR 响应的 c-ares 函数 `ares_parse_naptr_reply()`，以读取给定输入缓冲区之外的内存。(CVE-2017-1000381)

  - 在 6.14.4、 8.11.4 和 10.9.0 之前的所有 Node.js 版本中，当与 UCS-2 编码一起使用时（由 Node.js 识别为以下名称：`'ucs2'`、`'ucs-2'`、`'utf16le'` 和 `'utf-16le'`），`Buffer#write()` 可能被滥用，导致在单个 `Buffer` 的边界之外写入。写入从缓冲区倒数第二个位置开始，会导致错误计算要写入的输入字节的最大长度。(CVE-2018-12115)

  - Node.js: Node.js 6.15.0 和 8.14.0 之前的所有版本：HTTP 请求拆分：如果可以诱使 Node.js 将未审查的用户提供的 Unicode 数据用于 HTTP 请求的 `path` 选项，则可以提供数据，这将触发向相同服务器发出的第二个意外、由用户定义的 HTTP 请求。(CVE-2018-12116)

  - Node.js: Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：Slowloris HTTP 拒绝服务：攻击者可以通过非常缓慢地发送标头来长时间保持 HTTP 或 HTTPS 连接及相关资源处于活动状态，从而导致拒绝服务 (DoS)。(CVE-2018-12122)

  - Node.js: Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：URL 解析器中用于 javascript 协议的主机名伪造：如果 Node.js 应用程序使用 url.parse() 来确定 URL 主机名，则可以使用大小写混合的 javascript 协议来欺骗该主机名：（例如 javAscript：，其他协议不受影响）。如果根据主机名对 URL 做出安全决策，则它们可能不正确。(CVE-2018-12123)

  - Node.js 检查器 6.x 和更高版本容易遭受 DNS 重新绑定攻击，攻击者可利用此漏洞发起远程代码执行。攻击可能来自在 Web 浏览器中打开的恶意网站，而浏览器可能安装在同一台电脑上，或是安装在能够通过网络访问运行 Node.js 进程的其他电脑上。恶意网站可使用 DNS 重新绑定攻击来诱骗 Web 浏览器绕过同源策略检查，并允许实现指向 localhost 或本地网络上主机的 HTTP 连接。如果启用错误调试端口的 Node.js 进程在 localhost 或位于本地网络的主机上运行，则恶意网站可连接此进程并将其充作调试程序，并获得完整的代码执行权限。(CVE-2018-7160)

  - 使用带某些参数的调用 Buffer.fill() 或 Buffer.alloc() 可能会导致挂起，从而造成拒绝服务。为了解决此漏洞，已更新 Buffer.alloc() 和 Buffer.fill() 的实现，以便它们在这些情况下的内存填充为 0 而不是挂起。Node.js 6.x (LTS Boron)、8.x (LTS Carbon) 和 9.x 的所有版本均容易受到攻击。Node.js 10.x（当前版本）的所有版本均不易受到攻击。(CVE-2018-7167)

  - 在 Node.js（包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x）中，攻击者可以通过在保持活动状态中建立 HTTP 或 HTTPS 连接并非常缓慢地发送标头来导致拒绝服务 (DoS)。这可使连接及其关联资源长时间保持活动状态。使用负载均衡器或其他代理层可缓解潜在攻击。
    此漏洞是 CVE-2018-12121 的扩展，已在 11 月得到解决，此漏洞会影响所有活跃的 Node.js 发行版本，包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x。(CVE-2019-5737)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2018:2949 公告中提及的多个漏洞影响。

  - nodejs：HTTP 解析器允许 Content-Length 标头值内的空格 (CVE-2018-7159)

  - nodejs：Inspector DNS 重新绑定漏洞 (CVE-2018-7160)

  - nodejs：通过导致提供 http2 服务器的节点服务器崩溃来造成拒绝服务 (DoS) (CVE-2018-7161)

  - nodejs：通过使用特别构建的参数调用 Buffer.fill() 或 Buffer.alloc() 造成拒绝服务 (CVE-2018-7167)

  - nodejs：通过 UCS-2 编码发生超界 (OOB) 写入 (CVE-2018-12115) 

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Node.js 检查器 6.x 和更高版本容易遭受 DNS 重新绑定攻击，攻击者可利用此漏洞发起远程代码执行。攻击可能来自在 Web 浏览器中打开的恶意网站，而浏览器可能安装在同一台电脑上，或是安装在能够通过网络访问运行 Node.js 进程的其他电脑上。恶意网站可使用 DNS 重新绑定攻击来诱骗 Web 浏览器绕过同源策略检查，并允许实现指向 localhost 或本地网络上主机的 HTTP 连接。如果启用错误调试端口的 Node.js 进程在 localhost 或位于本地网络的主机上运行，则恶意网站可连接此进程并将其充作调试程序，并获得完整的代码执行权限。(CVE-2018-7160)

影响

使用恶意网站的攻击者或可远程执行任意代码。

BIG-IP

当您许可和配置 iRulesLX 并使用 iRule 调用 Node.js 时，或者安装 iAppsLX 并使用 BIG-IP Configuration 实用工具时，便会暴露此漏洞。

F5 SSL Orchestrator

使用 F5 SSL Orchestrator 的 Configuration 配置工具 (GUI) 时会暴露此漏洞。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
118933	Node.js 多个漏洞（2018 年 3 月安全版本）。	Nessus	Misc.	2018/11/14	2024/1/9	high
183156	Ubuntu 16.04 ESM / 18.04 ESM：Node.js 漏洞 (USN-4796-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2024/8/27	high
194056	RHEL 7 : rh-nodejs8-nodejs (RHSA-2018:2949)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/5	high
132574	F5 Networks BIG-IP：NodeJS 漏洞 (K63025104)	Nessus	F5 Networks Local Security Checks	2019/12/31	2023/11/2	high

检测

插件搜索

high

high

high

high