遠端 Rocky Linux 8 主機已安裝受 RLSA-2022:4796 公告中提及的一個弱點影響的套件。

  - ** 有爭議** 即使 package-lock.json 中的相依性資訊與 package.json 中的不同，npm 7.x 和 8.x 至 8.1.3 版本中的 npm ci 命令仍會繼續執行安裝。此行為與說明文件不一致，這讓攻擊者更容易安裝本應透過 package-lock.json 中的版本完全符合要求封鎖的惡意軟體。注意：npm 團隊認為這不是弱點。這需要有人以社交工程的方式入侵其中的相依性與 package-lock.json 不同的 package.json。該使用者必須擁有檔案系統或寫入權限，才能變更相依性。npm 團隊表示，防止惡意執行者進行社交工程入侵或取得檔案系統存取權超出了 npm CLI 的範圍。(CVE-2021-43616)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Rocky Linux 8nodejs:16 (RLSA-2022:4796)

critical Nessus Plugin ID 184875

版本 1.0