遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2021: 3280 公告中提及的多個弱點影響。

  - nodejs-glob-parent：規則運算式拒絕服務 (CVE-2020-28469)

  - nodejs-ini：透過惡意 INI 檔案可造成原型污染 (CVE-2020-7788)

  - nodejs：取消串流時 close http2 會發生釋放後使用問題 (CVE-2021-22930、CVE-2021-22940)

  - nodejs：未正確處理網域名稱中的非典型字元 (CVE-2021-22931)

  - nodejs：tls rejectUnauthorized 參數的驗證不完整 (CVE-2021-22939)

  - nodejs-path-parse：透過 splitDeviceRe、splitTailRe 和 splitPathRe 的 ReDoS (CVE-2021-23343)

  - nodejs-tar：符號連結保護不充分，允許建立和覆寫任意檔案 (CVE-2021-32803)

  - nodejs-tar：絕對路徑清理不充分，允許建立和覆寫任意檔案 (CVE-2021-32804)

  - c-ares：缺少主機名稱輸入驗證可能導致網域劫持 (CVE-2021-3672)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 7：rh-nodejs14-nodejs 和 rh-nodejs14-nodejs-nodemon (RHSA-2021: 3280)

critical Nessus Plugin ID 152863

版本 1.13