遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2021-0549 公告中提及的多個弱點影響。

  - 這會影響 1.0.1 版之前的 npm-user-validate 套件。驗證使用者電子郵件的 regex 在處理以 @ 字元開頭的長輸入字串時所花費的時間會以指數倍增加。(CVE-2020-7754)

  - 在 1.3.2 之前版本和 2.0.0 版中，mixin-deep 容易受到原型污染影問題影響。mixin-deep 函式可能遭到誘騙，使用構造函式負載添加或修改 Object.prototype 的屬性。(CVE-2019-10746)

  - 在比 3.0.1 舊的版本中，set-value 容易受到原型污染問題影響。mixin-deep 函式可能遭到誘騙，使用構造函式、原型和 _proto_ 負載中的任一個添加或修改 Object.prototype 的屬性。(CVE-2019-10747)

  - 這會影響 1.3.6 版之前的 ini 套件。如果攻擊者將惡意 INI 檔案提交至會使用 ini.parse 剖析檔案的應用程式，其會污染應用程式上的原型。視內容而定，此問題可能會遭到進一步利用。(CVE-2020-7788)

  10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本容易受到其 TLS 實作中的釋放後使用錯誤影響。寫入啟用 TLS 的通訊端時，node: : StreamBase: : Write 會呼叫 node: : TLSWrap: : DoWrite，並使用新配置的 WriteWrap 物件作為第一個引數。如果 DoWrite 方法未傳回錯誤，此物件會作為 StreamWriteResult 結構的一部分傳回給呼叫者。攻擊者可利用此錯誤損毀記憶體，進而導致拒絕服務或其他形式的利用。(CVE-2020-8265)

  10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本允許 HTTP 要求中存在兩個標頭欄位副本，例如兩個 Transfer-Encoding 標頭欄位。在此情況下，Node.js 會識別第一個標頭欄位，並忽略第二個標頭欄位。這可導致 HTTP 要求走私。(CVE-2020-8287)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Rocky Linux 8 主機已安裝受到多個弱點影響的套件如 RLSA-2021:0549 公告中所提及。

  - 當攻擊者可控制傳遞至此函式的部分結構時可誘騙所有 <= 0.5.0 版本 Deep-extend 節點模組中的公用程式函式修改 Object 的原型。這可讓攻擊者新增或修改所有物件上將存在的現有屬性。
    (CVE-2018-3750)

  - 在 1.3.2 之前版本和 2.0.0 版中，mixin-deep 容易受到原型污染影問題影響。mixin-deep 函式可能遭到誘騙，使用構造函式負載添加或修改 Object.prototype 的屬性。(CVE-2019-10746)

  - 在比 3.0.1 舊的版本中，set-value 容易受到原型污染問題影響。mixin-deep 函式可能遭到誘騙，使用構造函式、原型和 _proto_ 負載中的任一個添加或修改 Object.prototype 的屬性。(CVE-2019-10747)

  - 這會影響 1.0.1 版之前的 npm-user-validate 套件。驗證使用者電子郵件的 regex 在處理以 @ 字元開頭的長輸入字串時所花費的時間會以指數倍增加。(CVE-2020-7754)

  - 這會影響 1.3.6 版之前的 ini 套件。如果攻擊者將惡意 INI 檔案提交至會使用 ini.parse 剖析檔案的應用程式，其會污染應用程式上的原型。視內容而定，此問題可能會遭到進一步利用。(CVE-2020-7788)

  10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本容易受到其 TLS 實作中的釋放後使用錯誤影響。當寫入已啟用 TLS 的通訊端時node::StreamBase::Write 會以新配置的 WriteWrap 物件作為第一個引數呼叫 node::TLSWrap::DoWrite。如果 DoWrite 方法未傳回錯誤，此物件會作為 StreamWriteResult 結構的一部分傳回給呼叫者。攻擊者可利用此錯誤損毀記憶體，進而導致拒絕服務或其他形式的利用。(CVE-2020-8265)

  10.23.1、12.20.1、14.15.4、15.5.1 之前的 Node.js 版本允許 HTTP 要求中存在兩個標頭欄位副本，例如兩個 Transfer-Encoding 標頭欄位。在此情況下，Node.js 會識別第一個標頭欄位，並忽略第二個標頭欄位。這可導致 HTTP 要求走私。(CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2021: 0549 公告中提及的多個弱點影響。

  - nodejs-deep-extend：原型污染允許攻擊者修改物件屬性 (CVE-2018-3750)

  - nodejs-mixin-deep：mixin-deep 函式中的原型污染 (CVE-2019-10746)

  - nodejs-set-value：set-value 函式中的原型污染 (CVE-2019-10747)

  - nodejs-npm-user-validate：驗證使用者電子郵件時輸入驗證不當導致 ReDoS (CVE-2020-7754)

  - nodejs-ini：透過惡意 INI 檔案可造成原型污染 (CVE-2020-7788)

  - nodejs：TLS 實作中的釋放後使用問題 (CVE-2020-8265)

  - nodejs：透過 http 要求中標頭欄位的兩個複本造成 HTTP 要求走私 (CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2021: 0485 公告中提及的漏洞影響。

  - nodejs-deep-extend：原型污染允許攻擊者修改物件屬性 (CVE-2018-3750)

  - nodejs-mixin-deep：mixin-deep 函式中的原型污染 (CVE-2019-10746)

  - nodejs-set-value：set-value 函式中的原型污染 (CVE-2019-10747)

  - nodejs-npm-user-validate：驗證使用者電子郵件時輸入驗證不當導致 ReDoS (CVE-2020-7754)

  - nodejs-ini：透過惡意 INI 檔案可造成原型污染 (CVE-2020-7788)

  - nodejs：TLS 實作中的釋放後使用問題 (CVE-2020-8265)

  - nodejs：透過 http 要求中標頭欄位的兩個複本造成 HTTP 要求走私 (CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2021: 0549 公告中提及的多個弱點影響。

  - nodejs-deep-extend：原型污染允許攻擊者修改物件屬性 (CVE-2018-3750)

  - nodejs-mixin-deep：mixin-deep 函式中的原型污染 (CVE-2019-10746)

  - nodejs-set-value：set-value 函式中的原型污染 (CVE-2019-10747)

  - nodejs-npm-user-validate：驗證使用者電子郵件時輸入驗證不當導致 ReDoS (CVE-2020-7754)

  - nodejs-ini：透過惡意 INI 檔案可造成原型污染 (CVE-2020-7788)

  - nodejs：TLS 實作中的釋放後使用問題 (CVE-2020-8265)

  - nodejs：透過 http 要求中標頭欄位的兩個複本造成 HTTP 要求走私 (CVE-2020-8287)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
146636	Oracle Linux 8：nodejs：12 (ELSA-2021-0549)	Nessus	Oracle Linux Local Security Checks	2021/2/19	2024/11/1	critical
184892	Rocky Linux 8nodejs:12 (RLSA-2021:0549)	Nessus	Rocky Linux Local Security Checks	2023/11/7	2023/12/22	critical
146536	RHEL 8：nodejs: 12 (RHSA-2021: 0549)	Nessus	Red Hat Local Security Checks	2021/2/16	2025/3/13	critical
165165	RHEL 7：rh-nodejs12-nodejs (RHSA-2021: 0485)	Nessus	Red Hat Local Security Checks	2022/9/15	2024/11/7	critical
146539	CentOS 8：nodejs: 12 (CESA-2021: 0549)	Nessus	CentOS Local Security Checks	2021/3/11	2024/1/10	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical