NewStart CGSL CORE 5.04 / MAIN 5.04：http-parser 多個弱點 (NS-SA-2019-0208)

medium Nessus Plugin ID 129916

語系：

概要

遠端機器受到多個弱點的影響。

說明

執行 CORE 5.04 / MAIN 5.04 版的遠端 NewStart CGSL 主機安裝了受多個弱點影響的 http-parser 套件：- Node.js 的所有最新版本中的 HTTP 剖析器都會略過「Content-Length」標頭中的空格，使「Content-Length: 1 2」之類的輸入內容，其值被解譯為「12」。HTTP 規格的「Content-Length」值不得使用空格，而 Node.js HTTP 剖析器針對此等差異已經進行統一。此缺陷對 Node.js 使用者的安全性風險算是非常低，因為利用此缺陷的難度較高，甚至可說是不可能的，要透過提供不正確的「Content-Length」值的方式尚無法實現利用此缺陷。對此值與提供之資料的實際長度比對後的可能準確性做出錯誤假設的使用者程式碼中可能存在弱點。建議使用 Node.js 使用者特製的低層 HTTP 公用程式，在剖析完成後重新檢查所有提供輸入的長度。(CVE-2018-7159) - Node.js：Node.js 6.15.0 之前的所有版本、8.14.0、10.14.0 和 11.3.0：因大型 HTTP 標頭造成的拒絕服務：藉由使用由許多已達最大上限的標頭 (每個連線將近 80 KB) 所組成的要求並精算標頭完成的時間，可造成 HTTP 伺服器因堆積配置故障而中止執行。使用負載平衡器或其他 proxy 層可減輕攻擊發生的可能性。(CVE-2018-12121) 請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。