Node.js 14.x < 14.20.0 / 16.x < 16.16.0 / 18.x < 18.5.0 多個弱點 (2022 年 7 月 7 日安全性版本)。
high Nessus Plugin ID 165634
語系：
概要
Node.js - JavaScript 執行階段環境受到多個弱點影響。描述
遠端主機上安裝的 Node.js 版本早於 14.20.0、16.16.0 或 18.5.0。因此，它受到 2022 年 7 月 7 日安全性版本公告中所提及的多個弱點影響。- http 模組中的 llhttp 剖析器未正確剖析和驗證 Transfer-Encoding 標頭，這可導致 HTTP 要求走私 (HRS)。發佈後可於 CVE-2022-32213 中取得更多詳細資訊。感謝 Zeyu Zhang (@zeyu2001) 報告此弱點。影響：
(CVE-2022-32213)
- http 模組中的 llhttp 剖析器未嚴格使用 CRLF 序列來分隔 HTTP 要求，
這可導致 HTTP 要求走私 (HRS)。發佈後可於 CVE-2022-32214 中取得更多詳細資訊。感謝 Zeyu Zhang (@zeyu2001) 報告此弱點。影響：
(CVE-2022-32214)
- http 模組中的 llhttp 剖析器未正確處理多行 Transfer-Encoding 標頭，這可導致 HTTP 要求走私 (HRS)。發佈後可於 CVE-2022-32215 中取得更多詳細資訊。感謝 Zeyu Zhang (@zeyu2001) 報告此弱點。影響：
(CVE-2022-32215)
- 由於 IsIPAddress 未正確檢查 IP 位址是否無效，因此使用者很容易繞過 IsAllowedHost 檢查。當提供無效的 IPv4 位址時 (例如提供 10.0.2.555) ，瀏覽器 (例如 Firefox) 會向 DNS 伺服器發出 DNS 要求，進而為攻擊者控制的 DNS 伺服器或可偽造 DNS 回應的 MITM 提供向量，以執行重新繫結攻擊並因此連線至 WebSocket 除錯程式，進而引致任意程式碼執行攻擊。這可以略過 CVE-2021-22884。發佈後可於 CVE-2022-32212 中取得更多詳細資訊。感謝 Axel Chong 報告此弱點。影響：(CVE-2022-32212)
- 如果受害者在 Windows 系統上有下列依存關係，則此弱點可能遭攻擊者利用：
只要出現上述情況，node.exe 就會在目前的使用者目錄中搜尋 provider.dll。之後，node.exe 會嘗試依照 Windows 中的 DLL 搜尋順序搜尋 provider.dll。
攻擊者可能在多個路徑下放置惡意檔案 providers.dll，以利用此弱點。發佈後可於 CVE-2022-32223 中取得更多詳細資訊。感謝 Aqua Security 的 Yakir Kadkoda 報告此弱點。影響：注意：Node.js 可透過指定環境變數 OPENSSL_CONF 或使用命令行選項 --openssl-conf 來使用 OpenSSL 設定檔，如果未指定任何選項，則會依預設讀取預設的 OpenSSL 設定檔 openssl.cnf。Node.js 只會讀取預設名稱為 nodejs_conf 的區段。如果您在安裝時使用的是預設的 openssl.cnf 檔案，並且受到此重大變更的影響，您可以透過以下方式回復至先前的行為：(CVE-2022-32223)
- 在 Linux 型系統上啟動 Node.js 時，它會嘗試讀取通常不存在的 /home/iojs/build/ws/out/Release/obj.target/deps/openssl/openssl.cnf。在某些共用系統上，攻擊者可能會建立此檔案，並因此影響其他使用者的預設 OpenSSL 組態。感謝 OpenSSF Alpha-omega 專案的 Michael Scovetta 報告此弱點。影響：(CVE-2022-32222)
- 在某些情況下，使用 AES-NI 組件最佳化實作的 32 位元 x86 平台的 AES OCB 模式將不會加密完整的資料。這可能會洩漏預先存在於未寫入記憶體中的 16 位元組資料。在就地加密的特殊情況下，會洩漏純文字的 16 位元組。由於 OpenSSL 不支援適用於 TLS 和 DTLS 的 OCB 型加密套件，因此兩者均不受影響。影響：(CVE-2022-2097)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 Node.js 14.20.0 / 16.16.0 / 18.5.0 版本或更新版本。另請參閱
https://nodejs.org/en/blog/vulnerability/july-2022-security-releases/
Plugin 詳細資訊
嚴重性: High
ID: 165634
檔案名稱: nodejs_2022_jul.nasl
版本: 1.4
類型: local
代理程式: windows, macosx, unix
系列: Misc.
發布日期: 2022/10/3
更新日期: 2023/3/23
支援的感應器: Nessus Agent
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: Medium
基本分數: 5
時間分數: 3.7
媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
時間媒介: CVSS2#E:U/RL:OF/RC:C
CVSS 評分資料來源: CVE-2022-2097
CVSS v3
風險因素: High
基本分數: 8.1
時間分數: 7.1
媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
CVSS 評分資料來源: CVE-2022-32212
弱點資訊
CPE: cpe:/a:nodejs:node.js
必要的 KB 項目: installed_sw/Node.js
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2022/7/7
弱點發布日期: 2022/7/5
參考資訊
CVE: CVE-2022-2097, CVE-2022-32212, CVE-2022-32213, CVE-2022-32214, CVE-2022-32215, CVE-2022-32222, CVE-2022-32223
IAVB: 2022-B-0036-S