The version of Node.js installed on the remote host is prior to 12.22.2, 14.17.2, 16.4.1. It is, therefore, affected by multiple vulnerabilities as referenced in the July 2021 Security Releases advisory.

  - Node.js is vulnerable to out-of-bounds read in libuv's uv__idna_toascii() function which is used to     convert strings to ASCII. This is called by Node's dns module's lookup() function and can lead to     information disclosures or crashes. (CVE-2021-22918)

  - Node.js is vulnerable to local privilege escalation attacks under certain conditions on Windows platforms.
    More specifically, improper configuration of permissions in the installation directory allows an attacker     to perform two different escalation attacks: PATH and DLL hijacking. (CVE-2021-22921)

  - This is a vulnerability in the ssri npm module which may be vulnerable to denial of service attacks.
    (CVE-2021-27290)

  - This is a vulnerability in the hosted-git-info npm module which may be vulnerable to denial of service     attacks. (CVE-2021-23362)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Node.js reports : libuv upgrade - Out of bounds read (Medium) (CVE-2021-22918) Node.js is vulnerable to out-of-bounds read in libuv's uv__idna_toascii() function which is used to convert strings to ASCII. This is called by Node's dns module's lookup() function and can lead to information disclosures or crashes. Windows installer - Node Installer Local Privilege Escalation (Medium) (CVE-2021-22921) Node.js is vulnerable to local privilege escalation attacks under certain conditions on Windows platforms. More specifically, improper configuration of permissions in the installation directory allows an attacker to perform two different escalation attacks: PATH and DLL hijacking. npm upgrade - ssri Regular Expression Denial of Service (ReDoS) (High) (CVE-2021-27290) This is a vulnerability in the ssri npm module which may be vulnerable to denial of service attacks. npm upgrade - hosted-git-info Regular Expression Denial of Service (ReDoS) (Medium) (CVE-2021-23362) This is a vulnerability in the hosted-git-info npm module which may be vulnerable to denial of service attacks.

リモートホストにインストールされているNode.jsのバージョンは、12.22.2、14.17.2、16.4.1より前のものです。したがって、2021年7月のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  -Node.jsは、文字列をASCIIに変換するために使用されるlibuvのuv__idna_toascii（）関数の領域外読み取りに対して脆弱です。これは、Nodeのdnsモジュールのlookup（）関数によって呼び出され、情報漏洩やクラッシュを引き起こす可能性があります。（CVE-2021-22918）

  -Node.jsは、Windowsプラットフォームの特定の条件下でローカル権限昇格攻撃に対して脆弱です。
    具体的には、インストールディレクトリの権限の不適切な構成によって、攻撃者が次の2つの異なる昇格攻撃を実行する可能性があります。PATHおよびDLLハイジャック。（CVE-2021-22921）

  -これはssri npmモジュールの脆弱性で、このモジュールはサービス拒否攻撃に対して脆弱である可能性があります。
    （CVE-2021-27290）

  -これはhosted-git-info npmモジュールの脆弱性で、このモジュールはサービス拒否攻撃に対して脆弱である可能性があります。（CVE-2021-23362）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Node.jsによる報告：libuvのアップグレード - 領域外読み取り（重要度中）（CVE-2021-22918）Node.jsは、文字列をASCIIに変換するために使用されるlibuvのuv__idna_toascii()関数の領域外読み取りに対して脆弱です。これは、Nodeのdnsモジュールのlookup()関数によって呼び出され、情報漏洩やクラッシュを引き起こす可能性があります。Windowsインストーラー - Nodeインストーラーローカル権限昇格（重要度中）（CVE-2021-22921）Node.jsは、Windowsプラットフォームの特定の条件下でローカル権限昇格攻撃に対して脆弱です。具体的には、インストールディレクトリの権限の不適切な構成によって、攻撃者が次の2つの異なる昇格攻撃を実行する可能性があります。PATHおよびDLLハイジャック。npmのアップグレード - ssri正規表現のサービス拒否（ReDoS）（重要度高）（CVE-2021-27290）これはssri npmモジュールの脆弱性であり、サービス拒否攻撃に対して脆弱である可能性があります。 npmのアップグレード - hosted-git-info正規表現のサービス拒否（ReDoS）（重要度中）（CVE-2021-23362）これはhosted-git-info npmモジュールの脆弱性で、サービス拒否攻撃に脆弱な場合があります。

遠端主機上安裝的 Node.js 版本早於 12.22.2、14.17.2 或 16.4.1。因此，會受到 2021 年 7 月安全性版本公告中所提及的多個弱點影響。

  - Node.js 容易受到 libuv 的 uv__idna_toascii() 函式中的超出邊界讀取影響，該函式用於將字串轉換為 ASCII。這是由 Node 的 dns 模組 lookup() 函式呼叫，可能會導致資訊洩漏或當機。(CVE-2021-22918)

  - 在 Windows 平台上的特定情況下，Node.js 容易遭受本機權限提升攻擊。
    更具體而言，安裝目錄中權限的不當設定允許攻擊者執行兩種不同的提升攻擊：PATH 和 DLL 劫持。(CVE-2021-22921)

  - 這是 ssri npm 模組中的弱點，可能容易遭受拒絕服務攻擊。
    (CVE-2021-27290)

  - 這是 hosted-git-info npm 模組中的弱點，可能容易遭受拒絕服務攻擊。(CVE-2021-23362)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

远程主机上安装的 Node.js 版本低于 12.22.2、14.17.2、16.4.1。因此，该应用程序受到 2021 年 7 月安全版本公告中提及的多个漏洞的影响。

  - Node.js 容易受到 libuv 的 uv__idna_toascii() 函数（用于将字符串转换为ASCII）中越界读取漏洞的影响。此漏洞会被节点的 dns 模块的 lookup() 函数调用，并导致信息泄露或崩溃。(CVE-2021-22918)

  - 在 Windows 平台上，Node.js 容易在某些条件下遭受本地特权提升攻击。
    更具体地说，安装目录中特权的错误配置允许攻击者执行两种不同的提升攻击：PATH 和 DLL 劫持。(CVE-2021-22921)

  - 这是 ssri npm 模块中的漏洞，可能容易遭受拒绝服务攻击。
    (CVE-2021-27290)

  - 这是 hosted-git-info npm 模块中的漏洞，可能容易遭受拒绝服务攻击。(CVE-2021-23362)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

ID	名稱	產品	系列	已發布	已更新	嚴重性
151975	Node.js 12.x < 12.22.2 / 14.x < 14.17.2 / 16.x < 16.4.1 Multiple Vulnerabilities	Nessus	Misc.	2021/7/22	2024/1/9	high
153822	FreeBSD : Node.js -- July 2021 Security Releases (c174118e-1b11-11ec-9d9d-0022489ad614)	Nessus	FreeBSD Local Security Checks	2021/10/1	2023/11/29	high
151975	Node.js 12.x < 12.22.2 / 14.x < 14.17.2 / 16.x < 16.4.1 複数の脆弱性	Nessus	Misc.	2021/7/22	2024/1/9	high
153822	FreeBSD：Node.js -- 2021年7月のセキュリティリリース（c174118e-1b11-11ec-9d9d-0022489ad614）	Nessus	FreeBSD Local Security Checks	2021/10/1	2023/11/29	high
151975	Node.js 12.x < 12.22.2 / 14.x < 14.17.2 / 16.x < 16.4.1 多個弱點	Nessus	Misc.	2021/7/22	2024/1/9	high
151975	Node.js 12.x < 12.22.2 / 14.x < 14.17.2 / 16.x < 16.4.1 多个漏洞	Nessus	Misc.	2021/7/22	2024/1/9	high

偵測

搜尋 Plugin

high

high

high

high

high

high