遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2020-2852 公告中提及的多個弱點影響。

  -在 nghttp2 1.41.0之前的版本中，過大的 HTTP / 2 SETTINGS 框架承載會造成拒絕服務。
    概念證明攻擊涉及惡意用戶端一遍又一遍地建構長度為 14,400 位元組 (2400 個個別設定項目) 的 SETTINGS 框架。攻擊會造成 CPU 尖峰達到 100％。nghttp2 v1.41.0 已修正此弱點。目前有針對此弱點的因應措施。實作 nghttp2_on_frame_recv_callback 回呼，如果收到的是 SETTINGS 框架，且設定項目數量偏大 (例如 > 32)，則中斷連線。(CVE-2020-11080)

  1.2.2 之前，minimist 可能遭到誘騙，使用構造函式負載添加或修改 Object.prototype 的屬性。(CVE-2020-7598)

  -TLS 工作階段重複使用可在節點 < 12.18.0 和< 14.4.0 版中導致繞過主機憑證驗證。
    (CVE-2020-8172)

  - napi_get_value_string _ *() 允許節點 < 10.21.0、 12.18.0 和< 14.4.0中的多種記憶體損毀。(CVE-2020-8174)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Oracle Linux 8：nodejs: 12 (ELSA-2020-2852)

high Nessus Plugin ID 138482

版本 1.7