Oracle Linux 8:nodejs: 14 (ELSA-2021-0551)

critical Nessus Plugin ID 146637

概要

遠端 Oracle Linux 主機缺少一個或多個安全性更新。

說明

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2021-0551 公告中提及的多個弱點影響。

- 這會影響 1.0.1 版之前的 npm-user-validate 套件。驗證使用者電子郵件的 regex 在處理以 @ 字元開頭的長輸入字串時所花費的時間會以指數倍增加。(CVE-2020-7754)

- 這會影響 1.3.6 版之前的 ini 套件。如果攻擊者將惡意 INI 檔案提交至會使用 ini.parse 剖析檔案的應用程式,其會污染應用程式上的原型。視內容而定,此問題可能會遭到進一步利用。(CVE-2020-7788)

10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本容易受到其 TLS 實作中的釋放後使用錯誤影響。寫入啟用 TLS 的通訊端時,node: : StreamBase: : Write 會呼叫 node: : TLSWrap: : DoWrite,並使用新配置的 WriteWrap 物件作為第一個引數。如果 DoWrite 方法未傳回錯誤,此物件會作為 StreamWriteResult 結構的一部分傳回給呼叫者。攻擊者可利用此錯誤損毀記憶體,進而導致拒絕服務或其他形式的利用。(CVE-2020-8265)

10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本允許 HTTP 要求中存在兩個標頭欄位副本,例如兩個 Transfer-Encoding 標頭欄位。在此情況下,Node.js 會識別第一個標頭欄位,並忽略第二個標頭欄位。這可導致 HTTP 要求走私。(CVE-2020-8287)

- 如果 Node.js 應用程式可使攻擊者針對所選主機觸發 DNS 要求,則可藉由讓應用程式解析具有更多回應的 DNS 記錄,在 15.2.1 之前的版本以及 12.19.1 之前的 14.15.1 版中觸發拒絕服務。此問題已在 15.2.1, 14.15.1和 12.19.1 修正。
(CVE-2020-8277)

- 在 Ajv (即另一個 JSON Schema 驗證器) 的 ajv.validate() 中發現一個問題 6.12.2。可提供特製的 JSON 配置,允許透過原型污染執行其他程式碼。(雖然不建議使用不受信任的配置,但不受信任的配置最壞的情況應該是拒絕服務,而非程式碼執行。)(CVE-2020-15366)

- 這會影響 y18n 套件 3.2.2、4.0.1 和 5.0.5 之前版本。透過 po6ix: const y18n = require('y18n')();
y18n.setLocale('__proto__'); y18n.updateLocale({polluted: true}); console.log(polluted); // true 進行概念性驗證 (CVE-2020-7774)

請注意,Nessus 並未測試此問題,而是僅依據應用程式自我報告的版本號碼。

解決方案

更新受影響的套件。

另請參閱

https://linux.oracle.com/errata/ELSA-2021-0551.html

Plugin 詳細資訊

嚴重性: Critical

ID: 146637

檔案名稱: oraclelinux_ELSA-2021-0551.nasl

版本: 1.7

類型: local

代理程式: unix

已發布: 2021/2/20

已更新: 2024/1/22

支援的感應器: Frictionless Assessment Agent, Nessus Agent, Nessus

風險資訊

VPR

風險因素: Medium

分數: 6.7

CVSS v2

風險因素: High

基本分數: 7.5

時間分數: 5.9

媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS 評分資料來源: CVE-2020-7788

CVSS v3

風險因素: Critical

基本分數: 9.8

時間分數: 8.8

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:P/RL:O/RC:C

弱點資訊

CPE: cpe:/o:oracle:linux:8, p-cpe:/a:oracle:linux:nodejs, p-cpe:/a:oracle:linux:nodejs-devel, p-cpe:/a:oracle:linux:nodejs-docs, p-cpe:/a:oracle:linux:nodejs-full-i18n, p-cpe:/a:oracle:linux:nodejs-nodemon, p-cpe:/a:oracle:linux:nodejs-packaging, p-cpe:/a:oracle:linux:npm

必要的 KB 項目: Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list, Host/local_checks_enabled

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2021/2/20

弱點發布日期: 2020/7/15

參考資訊

CVE: CVE-2020-15366, CVE-2020-7754, CVE-2020-7774, CVE-2020-7788, CVE-2020-8265, CVE-2020-8277, CVE-2020-8287