Debian DLA-3295-1：node-moment - LTS 安全性更新

high Nessus Plugin ID 170880

語系：

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 10 主機上安裝的多個套件受到 dla-3295 公告中提及的多個弱點影響。

- Moment.js 是一個 JavaScript 日期庫，用於剖析、驗證、操作和格式化日期。Moment.js 1.0.1 至 2.29.1 版的 npm (伺服器) 使用者會受到路徑遊走弱點影響，尤其是在直接使用由使用者提供的地區設定字串來切換 moment 地區設定時。此問題已在 2.29.2 版中修補，且該修補程式可套用至所有受影響的版本。因應措施是，先清理使用者提供的地區名稱，然後再將其傳送至 Moment.js。(CVE-2022-24785)

- moment 是一個 JavaScript 日期庫，用於剖析、驗證、操作和格式化日期。據發現，受影響的 moment 版本使用了低效率剖析演算法。具體而言，在 moment 中使用 string-to-date 剖析 (更確切地說，是預設嘗試的 rfc2822 剖析) 處理特定輸入時，複雜性爲二的次方 (N^2)。使用者可能會發現，當輸入資料超過 10k 字元時，處理速度會明顯減慢。如果使用者將由使用者提供的字串傳遞給 moment 建構函式，而未經過例行長度檢查，就容易遭受 (Re)DoS 攻擊。此問題已在 2.29.4 版中修補，且該修補程式可套用至調整極少的所有受影響的版本。建議所有使用者進行升級。無法升級的使用者應考慮限制接受使用者輸入的日期長度。(CVE-2022-31129)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。