遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2024-1687 公告中提及的多個弱點影響。

  - 在 Linux 上，若無權限的使用者在以提升的權限執行處理程序時已設定特定環境變數，Node.js 就會忽略這些變數，唯一的例外狀況是 CAP_NET_BIND_SERVICE。由於此例外狀況的實作中有一個錯誤，因此即使已設定某些其他功能，Node.js 仍會以不正確的方式套用此例外狀況。無權限的使用者可藉此插入繼承處理程序提升權限的程式碼。(CVE-2024-21892)

  - 如果 setuid() 已在呼叫 setuid() 之前初始化，則 setuid() 不會影響 libuv 的內部 io_uring 作業。
    即使處理程序可能已透過 setuid() 呼叫中斷此類權限，處理程序仍可進行有權限的作業。此弱點會影響使用 Node.js 18.18.0、Node.js 20.4.0 和 Node.js 21 版或以上版本的所有使用者。(CVE-2024-22017)

  - Node.js 權限模型未在文件中闡明萬用字元只能作為檔案路徑的最後一個字元使用。例如：``` --allow-fs-read=/home/node/.ssh/*.pub ``` 將略過 `pub` 並提供 `.ssh/` 之後所有項目的存取權。此誤導文件會影響使用 Node.js 20 和 Node.js 21 版中實驗性權限模型的所有使用者。請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。(CVE-2024-21890)

  - crypto 程式庫的 privateDecrypt() API 中存有一個弱點，會在 PKCS#1 v1.5 填補錯誤處理期間造成隱密計時旁路。此弱點會揭露有效和無效加密文字在解密時的顯著時間差。這會造成嚴重威脅，因為攻擊者可從遠端惡意利用此弱點，將擷取的 RSA 加密文字解密或偽造簽章，特別是在涉及 API 端點處理 Json Web 加密訊息的情況下。影響：感謝 hkario 報告此弱點，同時感謝 Michael Dawson 修正此弱點。(CVE-2023-46809)

  - Node.js HTTP 伺服器中存在一個弱點，攻擊者可藉此傳送具有區塊編碼的特製 HTTP 要求，進而導致資源耗盡和拒絕服務 (DoS)。伺服器會利用區塊延伸位元組缺少限制的弱點，從單一連線讀取無限數量的位元組。此問題可造成 CPU 和網路頻寬耗盡，進而繞過標准防護措施，如逾時和內文大小限制。(CVE-2024-22019)

  - Node.js 會依賴多個內建公用程式函式來標準化提供給 node:fs 函式的路徑，其可由使用者定義的實作過度覆寫，進而導致透過路徑遊走攻擊繞過檔案系統權限模型。此弱點會影響使用 Node.js 20 和 Node.js 21 版中實驗性權限模型的所有使用者。請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。(CVE-2024-21891)

  - 權限模型可在使用者提供的任何路徑上呼叫 path.resolve()，藉此保護自己免受路徑遊走攻擊。如果要將路徑視為 Buffer，則實作會使用 Buffer.from() 從 path.resolve() 的結果中取得 Buffer。應用程式可以透過「猴子式修補法」緩衝區內部項目 (即 Buffer.prototype.utf8Write) 修改 path.resolve() 的結果，進而造成路徑遊走弱點。此弱點會影響使用 Node.js 20 和 Node.js 21 版中實驗性權限模型的所有使用者。請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。(CVE-2024-21896)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Oracle Linux 8：nodejs:20 (ELSA-2024-1687)

high Nessus Plugin ID 193028

版本 1.1

版本 1.0

版本 1.1 Sep 22, 2024, 1:40 AM CVSS metrics ("Cvssv4 score" set to 0.0) CVSSv2 severity (based on None, severity decreased from "High" to "Low") Plugin metadata Plugin Feed: 202409220140
版本 1.0 Apr 9, 2024, 4:58 AM New Plugin Feed: 202404090458