遠端主機上安裝的 Siemens SINEC NMS 版本比 2.0.1.0 舊。因此，它受到 SSA-943925 公告中提及的多個弱點影響。

  - 3.3.4 及之前的 coreruleset (即 OWASP ModSecurity Core Rule Set) 在某些平台上未偵測到多個 Content-Type 要求標頭。攻擊者可能藉此使用特製的承載繞過 WAF，即 WAF 和後端應用程式之間的 Content-Type 混淆。若 Web 應用程式僅依賴最後一個 Content-Type 標頭，則會發生此情況。其他平台可能會拒絕其他 Content-Type 標頭或合併衝突的標頭，進而導致偵測格式錯誤的標頭。
    (CVE-2023-38199)

  - Apache HTTP Server 2.4.0 至 2.4.55 版上的某些 mod_proxy 組態允許 HTTP 要求走私攻擊。當 mod_proxy 與某種形式的 RewriteRule 或 ProxyPassMatch 一起啟用時，組態會受到影響，其中非特定模式符合使用者提供的要求目標 (URL) 資料的某些部分，然後使用變量替換重新插入代理請求目標。示例如下：RewriteRule ^/here/(.*) http://example.com:8080/elsewhere?$1; 上的 RewriteEngine；[P] ProxyPassReverse /here/ http://example.com:8080/ 要求分割/走私可導致繞過 Proxy 伺服器中的存取控制、將非預定 URL 代理至現有的原始伺服器，以及快取毒害。建議使用者至少更新至 Apache HTTP Server 的 2.4.56 版。(CVE-2023-25690)

  - 使用「Module._load()」可繞過原則機制，並針對特定模組要求 policy.json 定義之外的模組。此弱點會影響在下列所有有效版本系列中使用實驗性原則機制的所有使用者：16.x、18.x 和 20.x。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能。(CVE-2023-32002)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Node.js 版本早於 16.20.2、18.17.1 或 20.5.1。因此，它受到 2023 年 8 月 9 日星期三安全性版本公告中提及的多個弱點影響：

  - 可透過 Module._load 繞過權限原則 (CVE-2023-32002)

  - 透過在緩衝區中指定路徑遊走序列來繞過權限模型 (CVE-2023-32004)

  - process.binding() 可透過路徑遊走繞過權限模型 (CVE-2023-32558)

  - 權限原則可在使用 module.constructor.createRequire() 時模擬其他模組 (CVE-2023-32006)

  - 可透過 process.binding 繞過權限原則 (CVE-2023-32559)

  - fs.statfs 可從受權限模型限制的檔案擷取統計資料 (CVE-2023-32005)

  - fs.mkdtemp() 和 fs.mkdtempSync() 缺少 getValidatedPath() 檢查 (CVE-2023-32003)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
191429	Siemens SINEC NMS < V2.0 SP1 多個弱點	Nessus	Windows	2024/2/29	2024/3/1	critical
179692	Node.js 16.x < 16.20.2 / 18.x < 18.17.1 / 20.x < 20.5.1 多個弱點 (2023 年 8 月 9 日星期三安全性版本)。	Nessus	Misc.	2023/8/11	2024/1/9	critical
195166	GLSA-202405-29：Node.js：多個弱點	Nessus	Gentoo Local Security Checks	2024/5/8	2024/5/8	critical

偵測

搜尋 Plugin

critical

critical

critical