遠端 MiracleLinux 8 主機已安裝受到多個弱點影響的套件如 AXSA:2020-760:01 公告中所提及。

    * nghttp2過大 SETTINGS 框架可導致 DoS (CVE-2020-11080) nodejs-minimistprototype 污染允許使用建構函式或 __proto__ 承載新增或修改 Object.prototype 的內容 (CVE-2020-7598)
    * nodejsnapi_get_value_string_* 函式中的記憶體損毀 (CVE-2020-8174) CVE-2020-11080 在 1.41.0版之前的 nghttp2 中過大的 HTTP/2 SETTINGS 框架承載會造成拒絕服務。
    概念證明攻擊涉及惡意用戶端一遍又一遍地建構長度為 14,400 位元組 (2400 個個別設定項目) 的 SETTINGS 框架。攻擊會造成 CPU 尖峰達到 100％。nghttp2 v1.41.0 已修正此弱點。目前有針對此弱點的因應措施。實作 nghttp2_on_frame_recv_callback 回呼且如果收到的框架是 SETTINGS 框架且設定項目數目很大 (例如 > 32)則中斷連線。
    CVE-2020-7598 之前的 1.2.2 minimist 可遭誘騙而使用建構函式或 __proto__ 承載新增或修改 Object.prototype 的內容。
    CVE-2020-8174 napi_get_value_string_*() 允許節點 < 10.21.0、 12.18.0和 < 14.4.0中的各種記憶體損毀。
    模組化名稱nodejs 資料流名稱10

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

MiracleLinux 8 : nodejs:10 (AXSA:2020-760:01)

high Nessus Plugin ID 291709

版本 1.2