Rocky Linux 8nodejs:10 (RLSA-2019:2925)

high Nessus Plugin ID 184969

語言:

概要

遠端 Rocky Linux 主機缺少一個或多個安全性更新。

說明

遠端 Rocky Linux 8 主機已安裝受到多個弱點影響的套件如 RLSA-2019:2925 公告中所提及。

- 在 Node.js 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 以及 11.10.1 之前的 11.x 中，攻擊者可透過在持續連線模式下非常緩慢地傳送標頭，建立 HTTP 或 HTTPS 連線，藉此造成拒絕服務 (DoS)。這可讓連線和相關聯的資源長時間保持運作。使用負載平衡器或其他 proxy 層可減輕攻擊發生的可能性。
此弱點是 CVE-2018-12121 的延伸模組，已在 11 月得以解決，該弱點會影響所有有效的 Node.js 版本，包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1之前的 11.x。(CVE-2019-5737)

- 部分 HTTP/2 實作存在視窗大小操控及串流優先排序操控弱點，可能因而導致拒絕服務。攻擊者透過多重串流向特定資源要求大量資料。這些攻擊者會操控視窗大小及串流優先順序，迫使伺服器將資料排入 1 位元組區塊。根據此資料的佇列效率而定，此狀況可消耗過多 CPU、記憶體或兩者。(CVE-2019-9511)

- 部分 HTTP/2 實作容易受到 ping 溢流影響，可能導致拒絕服務。攻擊者會傳送連續的 ping 到 HTTP/2 對等端，造成對等端建構內部的回應佇列。根據此資料的佇列效率而定，此狀況可消耗過多 CPU、記憶體或兩者。
(CVE-2019-9512)

- 部分 HTTP/2 實作容易受到資源迴圈影響，進而可能導致拒絕服務。
攻擊者會建立多個要求串流，並以會造成優先順序樹狀結構發生重大變換的方式，持續輪換串流的優先順序。這會耗用過多 CPU。(CVE-2019-9513)

- 部分 HTTP/2 實作容易受到重設溢流影響，可能導致拒絕服務。
攻擊者會開啟多個資料流，並透過每個資料流傳送應該從對等端請求 RST_STREAM 框架資料流的無效請求。根據對等端佇列 RST_STREAM 框架的方式而定，這可能會消耗過量的記憶體、CPU 或兩者。(CVE-2019-9514)

- 部分 HTTP/2 實作容易受到設定溢流影響，可能導致拒絕服務。攻擊者會將 SETTINGS 框架資料流傳送至對等裝置。由於 RFC 規定對等裝置需針對每個 SETTINGS 框架發出一個確認回覆，因此空的 SETTINGS 框架，其作用幾乎就等於 ping。根據此資料的佇列效率而定，此狀況可消耗過多 CPU、記憶體或兩者。(CVE-2019-9515)

- 部分 HTTP/2 實作容易受到標頭洩漏影響進而可能導致拒絕服務。
攻擊者可將大量含有 0 長度標頭名稱及 0 長度標頭值的標頭 (選擇性採用 Huffman 編碼) 傳送到 1 位元組或更高位元組的標頭中。某些實作會為這些標頭配置記憶體，並將配置保持現用狀態，直到工作階段終結。這會消耗過多的記憶體。 (CVE-2019-9516)

- 部分 HTTP/2 實作容易受到不受限制的內部資料緩衝影響進而可能導致拒絕服務。攻擊者會開啟 HTTP/2 視窗，使對等端可以不受限制地傳送；
但是它們會關閉 TCP 視窗，這樣對等端在連線時，就無法實際寫入 (許多) 位元組。接著，攻擊者會針對大型回應物件傳送要求串流。根據伺服器佇列回應的方式，這可能會消耗過量的記憶體或 CPU，或是兩者都過度消耗。(CVE-2019-9517)

- 部分 HTTP/2 實作容易受到空白框架氾濫影響，可能導致拒絕服務。攻擊者傳送具有空承載且沒有 end-of-stream 旗標的框架資料流。
這些框架可以是 DATA、HEADERS、CONTINUATION 和/或 PUSH_PROMISE。對等在節點處理每個框架所花費的時間與處理攻擊頻寬的時間不成比例。這會耗用過多 CPU。(CVE-2019-9518)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。