Node.js 14.x < 14.20.0 / 16.x < 16.16.0 / 18.x < 18.5.0 多個弱點 (2022 年 7 月 7 日安全性版本)。

high Nessus Plugin ID 165634

概要

Node.js - JavaScript 執行階段環境受到多個弱點影響。

說明

遠端主機上安裝的 Node.js 版本早於 14.20.0、16.16.0 或 18.5.0。因此,它受到 2022 年 7 月 7 日安全性版本公告中所提及的多個弱點影響。

- http 模組中的 llhttp 剖析器未正確剖析和驗證 Transfer-Encoding 標頭,這可導致 HTTP 要求走私 (HRS)。發佈後可於 CVE-2022-32213 中取得更多詳細資訊。感謝 Zeyu Zhang (@zeyu2001) 報告此弱點。影響:
(CVE-2022-32213)

- http 模組中的 llhttp 剖析器未嚴格使用 CRLF 序列來分隔 HTTP 要求,
這可導致 HTTP 要求走私 (HRS)。發佈後可於 CVE-2022-32214 中取得更多詳細資訊。感謝 Zeyu Zhang (@zeyu2001) 報告此弱點。影響:
(CVE-2022-32214)

- http 模組中的 llhttp 剖析器未正確處理多行 Transfer-Encoding 標頭,這可導致 HTTP 要求走私 (HRS)。發佈後可於 CVE-2022-32215 中取得更多詳細資訊。感謝 Zeyu Zhang (@zeyu2001) 報告此弱點。影響:
(CVE-2022-32215)

- 由於 IsIPAddress 未正確檢查 IP 位址是否無效,因此使用者很容易繞過 IsAllowedHost 檢查。當提供無效的 IPv4 位址時 (例如提供 10.0.2.555) ,瀏覽器 (例如 Firefox) 會向 DNS 伺服器發出 DNS 要求,進而為攻擊者控制的 DNS 伺服器或可偽造 DNS 回應的 MITM 提供向量,以執行重新繫結攻擊並因此連線至 WebSocket 除錯程式,進而引致任意程式碼執行攻擊。這可以略過 CVE-2021-22884。發佈後可於 CVE-2022-32212 中取得更多詳細資訊。感謝 Axel Chong 報告此弱點。影響:(CVE-2022-32212)

- 如果受害者在 Windows 系統上有下列依存關係,則此弱點可能遭攻擊者利用:
只要出現上述情況,node.exe 就會在目前的使用者目錄中搜尋 provider.dll。之後,node.exe 會嘗試依照 Windows 中的 DLL 搜尋順序搜尋 provider.dll。
攻擊者可能在多個路徑下放置惡意檔案 providers.dll,以利用此弱點。發佈後可於 CVE-2022-32223 中取得更多詳細資訊。感謝 Aqua Security 的 Yakir Kadkoda 報告此弱點。影響:注意:Node.js 可透過指定環境變數 OPENSSL_CONF 或使用命令行選項 --openssl-conf 來使用 OpenSSL 設定檔,如果未指定任何選項,則會依預設讀取預設的 OpenSSL 設定檔 openssl.cnf。Node.js 只會讀取預設名稱為 nodejs_conf 的區段。如果您在安裝時使用的是預設的 openssl.cnf 檔案,並且受到此重大變更的影響,您可以透過以下方式回復至先前的行為:(CVE-2022-32223)

- 在 Linux 型系統上啟動 Node.js 時,它會嘗試讀取通常不存在的 /home/iojs/build/ws/out/Release/obj.target/deps/openssl/openssl.cnf。在某些共用系統上,攻擊者可能會建立此檔案,並因此影響其他使用者的預設 OpenSSL 組態。感謝 OpenSSF Alpha-omega 專案的 Michael Scovetta 報告此弱點。影響:(CVE-2022-32222)

- 在某些情況下,使用 AES-NI 組件最佳化實作的 32 位元 x86 平台的 AES OCB 模式將不會加密完整的資料。這可能會洩漏預先存在於未寫入記憶體中的 16 位元組資料。在就地加密的特殊情況下,會洩漏純文字的 16 位元組。由於 OpenSSL 不支援適用於 TLS 和 DTLS 的 OCB 型加密套件,因此兩者均不受影響。影響:(CVE-2022-2097)

請注意,Nessus 並未測試這些問題,而是僅依據應用程式自我報告的版本號碼作出判斷。

解決方案

升級至 Node.js 14.20.0 / 16.16.0 / 18.5.0 版本或更新版本。

另請參閱

https://nodejs.org/en/blog/vulnerability/july-2022-security-releases/

Plugin 詳細資訊

嚴重性: High

ID: 165634

檔案名稱: nodejs_2022_jul.nasl

版本: 1.7

類型: local

代理程式: windows, macosx, unix

系列: Misc.

已發布: 2022/10/3

已更新: 2024/1/9

組態: 啟用徹底檢查

支援的感應器: Nessus Agent, Nessus

風險資訊

VPR

風險因素: Medium

分數: 5.9

CVSS v2

風險因素: Medium

基本分數: 5

時間分數: 4.1

媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

CVSS 評分資料來源: CVE-2022-2097

CVSS v3

風險因素: High

基本分數: 8.1

時間分數: 7.5

媒介: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:F/RL:O/RC:C

CVSS 評分資料來源: CVE-2022-32212

弱點資訊

CPE: cpe:/a:nodejs:node.js

必要的 KB 項目: installed_sw/Node.js

可被惡意程式利用: true

可輕鬆利用: Exploits are available

修補程式發佈日期: 2022/7/7

弱點發布日期: 2022/7/5

參考資訊

CVE: CVE-2022-2097, CVE-2022-32212, CVE-2022-32213, CVE-2022-32214, CVE-2022-32215, CVE-2022-32222, CVE-2022-32223

IAVB: 2022-B-0036-S