遠端 Rocky Linux 8 主機已安裝受到多個弱點影響的套件如 RLSA-2021:0548 公告中所提及。

  - npm CLI 6.14.6 之前版本容易受到透過記錄檔發起的資訊洩漏攻擊。CLI 支援下列 URL：<protocol>://[<user>[:<password>]@]<hostname>[:<port>][:][/]<path>。密碼值未編輯，且列印至 stdout 以及任何產生的記錄檔。(CVE-2020-15095)

  - 在 Ajv (即另一個 JSON Schema 驗證器) 的 ajv.validate() 中發現一個問題 6.12.2。可提供特製的 JSON 結構描述，允許透過原型污染執行其他程式碼。(雖然不建議使用不受信任的結構描述，但不受信任的結構描述最壞的情況應該是拒絕服務，而非程式碼執行。)(CVE-2020-15366)

  - yargs-parser 可能遭到誘騙，使用 __proto__ 負載添加或修改 Object.prototype 的屬性。(CVE-2020-7608)

  - 這會影響 1.0.1 版之前的 npm-user-validate 套件。驗證使用者電子郵件的 regex 在處理以 @ 字元開頭的長輸入字串時所花費的時間會以指數倍增加。(CVE-2020-7754)

  - 3.2.2、 4.0.1 和 5.0.5 之前的 y18n 套件容易受到原型污染。 (CVE-2020-7774)

  - 這會影響 1.3.6 版之前的 ini 套件。如果攻擊者將惡意 INI 檔案提交至會使用 ini.parse 剖析檔案的應用程式，其會污染應用程式上的原型。視內容而定，此問題可能會遭到進一步利用。(CVE-2020-7788)

  - dot-prop npm 套件的 4.2.1 之前版本以及 5.x 版的 5.1.1 之前版本存在原型污染弱點，允許攻擊者添加任意屬性至 JavaScript 語言構造 (如物件)。
    (CVE-2020-8116)

  - 在 Node.js 使用的 libuv < 10.22.1、< 12.18.4 和 < 14.9.0 中，realpath 實作錯誤報斷緩衝區大小，若解析的路徑長於 256 位元組，可導致緩衝區溢位。(CVE-2020-8252)

  10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本容易受到其 TLS 實作中的釋放後使用錯誤影響。當寫入已啟用 TLS 的通訊端時node::StreamBase::Write 會以新配置的 WriteWrap 物件作為第一個引數呼叫 node::TLSWrap::DoWrite。如果 DoWrite 方法未傳回錯誤，此物件會作為 StreamWriteResult 結構的一部分傳回給呼叫者。攻擊者可利用此錯誤損毀記憶體，進而導致拒絕服務或其他形式的利用。(CVE-2020-8265)

  10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本允許 HTTP 要求中存在兩個標頭欄位副本，例如兩個 Transfer-Encoding 標頭欄位。在此情況下，Node.js 會識別第一個標頭欄位，並忽略第二個標頭欄位。這可導致 HTTP 要求走私。(CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Rocky Linux 8nodejs:10 (RLSA-2021:0548)

critical Nessus Plugin ID 184949

版本 1.1