遠端主機上安裝的 Node.js 版本早於 14.20.0、16.16.0 或 18.5.0。因此，它受到 2022 年 7 月 7 日安全性版本公告中所提及的多個弱點影響。

  - http 模組中的 llhttp 剖析器未正確剖析和驗證 Transfer-Encoding 標頭，這可導致 HTTP 要求走私 (HRS)。發佈後可於 CVE-2022-32213 中取得更多詳細資訊。感謝 Zeyu Zhang (@zeyu2001) 報告此弱點。影響：
    (CVE-2022-32213)

  - http 模組中的 llhttp 剖析器未嚴格使用 CRLF 序列來分隔 HTTP 要求，
    這可導致 HTTP 要求走私 (HRS)。發佈後可於 CVE-2022-32214 中取得更多詳細資訊。感謝 Zeyu Zhang (@zeyu2001) 報告此弱點。影響：
    (CVE-2022-32214)

  - http 模組中的 llhttp 剖析器未正確處理多行 Transfer-Encoding 標頭，這可導致 HTTP 要求走私 (HRS)。發佈後可於 CVE-2022-32215 中取得更多詳細資訊。感謝 Zeyu Zhang (@zeyu2001) 報告此弱點。影響：
    (CVE-2022-32215)

  - 由於 IsIPAddress 未正確檢查 IP 位址是否無效，因此使用者很容易繞過 IsAllowedHost 檢查。當提供無效的 IPv4 位址時 (例如提供 10.0.2.555) ，瀏覽器 (例如 Firefox) 會向 DNS 伺服器發出 DNS 要求，進而為攻擊者控制的 DNS 伺服器或可偽造 DNS 回應的 MITM 提供向量，以執行重新繫結攻擊並因此連線至 WebSocket 除錯程式，進而引致任意程式碼執行攻擊。這可以略過 CVE-2021-22884。發佈後可於 CVE-2022-32212 中取得更多詳細資訊。感謝 Axel Chong 報告此弱點。影響：(CVE-2022-32212)

  - 如果受害者在 Windows 系統上有下列依存關係，則此弱點可能遭攻擊者利用：
    只要出現上述情況，node.exe 就會在目前的使用者目錄中搜尋 provider.dll。之後，node.exe 會嘗試依照 Windows 中的 DLL 搜尋順序搜尋 provider.dll。
    攻擊者可能在多個路徑下放置惡意檔案 providers.dll，以利用此弱點。發佈後可於 CVE-2022-32223 中取得更多詳細資訊。感謝 Aqua Security 的 Yakir Kadkoda 報告此弱點。影響：注意：Node.js 可透過指定環境變數 OPENSSL_CONF 或使用命令行選項 --openssl-conf 來使用 OpenSSL 設定檔，如果未指定任何選項，則會依預設讀取預設的 OpenSSL 設定檔 openssl.cnf。Node.js 只會讀取預設名稱為 nodejs_conf 的區段。如果您在安裝時使用的是預設的 openssl.cnf 檔案，並且受到此重大變更的影響，您可以透過以下方式回復至先前的行為：(CVE-2022-32223)

  - 在 Linux 型系統上啟動 Node.js 時，它會嘗試讀取通常不存在的 /home/iojs/build/ws/out/Release/obj.target/deps/openssl/openssl.cnf。在某些共用系統上，攻擊者可能會建立此檔案，並因此影響其他使用者的預設 OpenSSL 組態。感謝 OpenSSF Alpha-omega 專案的 Michael Scovetta 報告此弱點。影響：(CVE-2022-32222)

  - 在某些情況下，使用 AES-NI 組件最佳化實作的 32 位元 x86 平台的 AES OCB 模式將不會加密完整的資料。這可能會洩漏預先存在於未寫入記憶體中的 16 位元組資料。在就地加密的特殊情況下，會洩漏純文字的 16 位元組。由於 OpenSSL 不支援適用於 TLS 和 DTLS 的 OCB 型加密套件，因此兩者均不受影響。影響：(CVE-2022-2097)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Node.js 14.x < 14.20.0 / 16.x < 16.16.0 / 18.x < 18.5.0 多個弱點 (2022 年 7 月 7 日安全性版本)。

high Nessus Plugin ID 165634

版本 1.5