遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2024:1503 公告中提及的多個弱點影響。

  - crypto 程式庫的 privateDecrypt() API 中存有一個弱點，會在 PKCS#1 v1.5 填補錯誤處理期間造成隱密計時旁路。此弱點會揭露有效和無效加密文字在解密時的顯著時間差。這會造成嚴重威脅，因為攻擊者可從遠端惡意利用此弱點，將擷取的 RSA 加密文字解密或偽造簽章，特別是在涉及 API 端點處理 Json Web 加密訊息的情況下。影響：感謝 hkario 報告此弱點，同時感謝 Michael Dawson 修正此弱點。(CVE-2023-46809)

  - 在 Linux 上，若無權限的使用者在以提升的權限執行處理程序時已設定特定環境變數，Node.js 就會忽略這些變數，唯一的例外狀況是 CAP_NET_BIND_SERVICE。由於此例外狀況的實作中有一個錯誤，因此即使已設定某些其他功能，Node.js 仍會以不正確的方式套用此例外狀況。無權限的使用者可藉此插入繼承處理程序提升權限的程式碼。(CVE-2024-21892)

  - Node.js HTTP 伺服器中存在一個弱點，攻擊者可藉此傳送具有區塊編碼的特製 HTTP 要求，進而導致資源耗盡和拒絕服務 (DoS)。伺服器會利用區塊延伸位元組缺少限制的弱點，從單一連線讀取無限數量的位元組。此問題可造成 CPU 和網路頻寬耗盡，進而繞過標准防護措施，如逾時和內文大小限制。(CVE-2024-22019)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

RHEL 9 : nodejs:18 (RHSA-2024:1503)

high Nessus Plugin ID 192549

版本 1.0