遠端 Debian 11 主機上安裝的套件受 dsa-5326 公告中提及的多個弱點影響。

  - 14.20.0、16.16.0、18.5.0 之前的 Node.js 版本中有一個 OS 命令注入弱點，這是因為 IsAllowedHost 檢查不充分所致，因為 IsIPAddress 在提出 DBS 要求之前未正確檢查 IP 位址是否無效，進而允許重新系結攻擊。(CVE-2022-32212)

  - Node.js http 模組中的 llhttp 剖析器 (小於 v14.20.1、v16.17.1 和 v18.9.1) 未正確剖析和驗證 Transfer-Encoding 標頭，進而可能導致 HTTP 要求走私 (HRS)。(CVE-2022-32213)

  - Node.js http 模組中的 llhttp 剖析器 (小於 v14.20.1、v16.17.1 和 v18.9.1) 未嚴格使用 CRLF 序列來分隔 HTTP 要求。這可導致 HTTP 要求走私 (HRS)。
    (CVE-2022-32214)

  - Node.js http 模組中的 llhttp 剖析器 (小於 v14.20.1、v16.17.1 和 v18.9.1) 未正確處理多行傳輸編碼標頭。這可導致 HTTP 要求走私 (HRS)。
    (CVE-2022-32215)

  - Node.js 18 中存在 WebCrypto keygen 的弱隨機性弱點，這是由於 SecretKeyGenTraits 中的 EntropySource() 變更所致：: src/crypto/crypto_keygen.cc 中的 DoKeyGen()。這有兩個問題：1) 它不檢查傳回值，它假設 EntropySource() 總是成功，但它可能 (有時會) 失敗。 2) EntropySource() 傳回的隨機資料在密碼編譯上可能不強，因此不適合作為金鑰內容。(CVE-2022-35255)

  - Node v18.7.0 的 http 模組中的 llhttp 剖析器未正確處理非以 CLRF 結尾的標頭欄位，這可能會導致 HTTP 要求走私攻擊。(CVE-2022-35256)

  - 低於 14.21.1、16.18.1、18.12.1、19.0.1 的 Node.js 版本中存在 OS 命令插入弱點，這是因為 IsAllowedHost 檢查不充分所致，IsIPAddress 在提出 DBS 要求之前未正確檢查 IP 位址是否無效，因而攻擊者可以輕易略過 IsAllowedHost 檢查，執行重新繫結攻擊。https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32212 中針對此問題的修復不完整，所以提供了新的 CVE 來補充此修復。(CVE-2022-43548)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Debian DSA-5326-1：nodejs - 安全性更新

critical Nessus Plugin ID 170655

版本 1.0