Node.js 多個弱點 (2020 年 9 月安全性發佈)
high Nessus Plugin ID 140795
語系：
概要
Node.js - JavaScript 執行階段環境受到多個弱點影響。說明
遠端主機上安裝的 Node.js 版本比 10.22.1、12.18.4 或 14.11.0 版舊。因此，會受到 2020 年 9 月安全性發佈公告中所提及的多個弱點影響。- 受影響的 Node.js 版本在剖析之前，會將 HTTP 要求標頭中的歸位字元轉換為連字號。
這可能會導致 HTTP 要求走私，因為這是對標頭的非標準解譯。
(CVE-2020-8201)
- Node.js 容易遭受以延遲提交要求為基礎的 HTTP 拒絕服務 (DOS) 攻擊，這可使伺服器無法接受新連線。使用名為 requestTimeout 的新 http.Server 選項修復，其預設值為 0，這表示其預設為停用。這應在 Node.js 用作邊緣伺服器時設定。(CVE-2020-8251)
- libuv 的 realpath 實作錯誤報斷緩衝區大小，如果解析的路徑長於 256 位元組，可導致緩衝區溢位。(CVE-2020-8252)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。
解決方案
升級至 Node.js 10.22.1 / 12.18.4 / 14.11.0 版本或更新版本。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 140795
檔案名稱: nodejs_2020_sep.nasl
版本: 1.10
類型: local
代理程式: windows, macosx, unix
系列: Misc.
已發布: 2020/9/25
已更新: 2023/9/11
組態: 啟用徹底檢查
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5.9
CVSS v2
風險因素: Medium
基本分數: 5.8
時間分數: 4.3
媒介: CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:N
CVSS 評分資料來源: CVE-2020-8201
CVSS v3
風險因素: High
基本分數: 7.8
時間分數: 6.8
媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS 評分資料來源: CVE-2020-8252
弱點資訊
CPE: cpe:/a:nodejs:node.js
必要的 KB 項目: installed_sw/Node.js
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2020/9/15
弱點發布日期: 2020/9/15
參考資訊
CVE: CVE-2020-8201, CVE-2020-8251, CVE-2020-8252
IAVB: 2020-B-0057-S