遠端 Rocky Linux 8 主機已安裝受到多個弱點影響的套件如 RLSA-2021:3666 公告中所提及。

  - 16.6.0、14.17.4 和 12.22.4 版之前的 Node.js 容易受到遠端程式碼執行、XSS、應用程式損毀攻擊，這是因為 Node.js dns 程式庫中缺少對網域名稱伺服器所傳回的主機名稱輸入的驗證，進而導致使用該程式庫的應用程式中存在錯誤的主機名稱輸出 (導致網域劫持) 和插入弱點。(CVE-2021-22931)

  - 所有版本的 path-parse 套件都容易受到藉由 splitDeviceRe、splitTailRe 和 splitPathRe 規則運算式觸發的規則運算式拒絕服務 (ReDoS) 攻擊。ReDoS 呈現出多項式最壞情況時間複雜度。(CVE-2021-23343)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Rocky Linux 8nodejs:14 (RLSA-2021:3666)

critical Nessus Plugin ID 157829

版本 1.4