遠端 Oracle Linux 9 主機中安裝的套件受到 ELSA-2024-5815 公告中提及的多個弱點影響。

    nodejs [1:20.16.0-1]
    - 更新至 20.16.0 修正：CVE-2024-36137 CVE-2024-22018 CVE-2024-22020

    nodejs-nodemon nodejs-packaging

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 AlmaLinux 9 主機已安裝受到多個弱點影響的套件如 ALSA-2024:5815 公告中所提及。

    * nodejs：透過資料 URL 繞過網路匯入限制 (CVE-2024-22020)
    * nodejs：fs.lstat 繞過權限模型 (CVE-2024-22018)
    * nodejs：fs.fchown/fchmod 繞過權限模型 (CVE-2024-36137)

Tenable 已直接從 AlmaLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2024-768 公告中所提及的多個弱點影響。

    在 Node.js 中發現一個弱點，當 --allow-fs-read 旗標使用時，此弱點會影響實驗權限模型的使用者。產生此弱點的原因是，權限模型不足，無法透過 fs.lstat API 限制檔案統計資料。因此，惡意執行者可以從他們沒有明確讀取權限的檔案中擷取統計資料。(CVE-2024-22018)

    Node.js 中有一個允許繞過網路匯入限制的安全性缺陷。攻擊者可藉由在資料 URL 中內嵌非網路匯入，執行任意程式碼，進而危害系統安全性。經過多平台驗證，可透過禁止在網路匯入中使用資料 URL 來緩解此弱點。惡意利用此缺陷會違反網路匯入安全性原則，對開發人員和伺服器造成風險。(CVE-2024-22020)

    node-tar 是 Node.js 的 Tar。6.2.1 版之前的 node-tar 對在資料夾建立過程中可建立的子資料夾數目沒有限制。產生大量子資料夾的攻擊者可消耗執行 node-tar 之系統上的記憶體，甚至在使用內含太多子資料夾的路徑執行 Node.js 用戶端后數秒內致使其損毀。6.2.1 版可透過防止在過深的子資料夾中擷取資料來修正此問題。(CVE-2024-28863)

    在 Node.js 中發現一個弱點，當 --allow-fs-write 旗標使用時，此弱點會影響實驗權限模型的使用者。

    Node.js 權限模型無法在檔案描述符號上運作，不過，fs.fchown 或 fs.fchmod 等作業可使用唯讀檔案描述符號來變更檔案的擁有者和權限。
    (CVE-2024-36137)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Node.js 版本早於 18.20.4、20.15.1 或 22.4.1。因此，會受到 2021 年 7 月 8 日週一安全性版本公告中所提及的多個弱點影響。

  - CVE-2024-27980 被識別為 BatBad But 弱點的不完整修正。此弱點是因為透過 child_process.spawn / child_process.spawnSync 在 Windows 上不當處理具有所有可能副檔名的批次檔案所導致。如果未啟用 shell 選項，惡意命令行引數仍可插入任意命令並執行程式碼。此弱點會影響 Windows 上所有使用中版本行的 child_process.spawn 和 child_process.spawnSync 使用者。
    影響：感謝 tianst 報告此弱點，同時感謝 RafaelGSS 修正此弱點。  
    (CVE-2024-27980)

  - Node.js 中的安全性瑕疵允許繞過網路匯入限制。藉由在資料 URL 中內嵌非網路匯入，攻擊者可執行任意程式碼，進而危害系統安全性。此弱點已在多種平台上驗證，透過在網路匯入中禁止資料 URL 可減輕弱點的影響。惡意利用此瑕疵可違反網路匯入安全性，對開發人員和伺服器造成風險。影響：感謝 dittyroma 報告此弱點，同時感謝 RafaelGSS 修正此弱點。(CVE-2024-22020)

  - 在 Node.js 中發現一個弱點，當 --allow-fs-write 旗標使用時，此弱點會影響實驗權限模型的使用者。Node.js 權限模型無法在檔案描述符號上運作，不過，fs.fchown 或 fs.fchmod 等作業可使用唯讀檔案描述符號來變更檔案的擁有者和權限。此弱點會影響使用 Node.js 20 和 Node.js 22 版中實驗性權限模型的所有使用者。請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。影響：感謝 4xpl0r3r 報告此弱點，同時感謝 RafaelGSS 修正此弱點。(CVE-2024-36137)

  - 在 Node.js 中發現一個弱點，當 --allow-fs-read 旗標使用時，此弱點會影響實驗權限模型的使用者。產生此弱點的原因是，權限模型不足，無法透過 fs.lstat API 限制檔案統計資料。因此，惡意執行者可以從他們沒有明確讀取權限的檔案中擷取統計資料。此弱點會影響使用 Node.js 20 和 Node.js 22 版中實驗性權限模型的所有使用者。請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。影響：感謝 haxatron1 報告此弱點，同時感謝 RafaelGSS 修正此弱點。(CVE-2024-22018)

  - 權限模型假設任何以兩個反斜線 \ 開頭的路徑都有一個可以忽略的四字元前置詞，但情況並非總是如此。這個細微的錯誤會導致容易遭受攻擊的邊緣案例。此弱點會影響 v22.x 和 v20.x 版中 Node.js 權限模型的 Windows 使用者 影響：
    感謝 tniessen 報告此弱點，同時感謝 RafaelGSS 修正此弱點。  
    (CVE-2024-37372)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2024:5814 公告中提及的多個弱點影響。

    Node.js 是一個軟體開發平台，可使用 JavaScript 程式設計語言建置快速且可擴充的網路應用程式。

    安全性修正：

    * node-tar：剖析 tar 檔案時發生拒絕服務，這是因為缺少資料夾深度驗證所導致 (CVE-2024-28863)

    * nodejs：透過資料 URL 繞過網路匯入限制 (CVE-2024-22020)

    * nodejs：fs.lstat 繞過權限模型 (CVE-2024-22018)

    * nodejs：fs.fchown/fchmod 繞過權限模型 (CVE-2024-36137)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Rocky Linux 9 主機已安裝受到多個弱點影響的套件如 RLSA-2024:5815 公告中所提及。

    * nodejs：透過資料 URL 繞過網路匯入限制 (CVE-2024-22020)

    * nodejs：fs.lstat 繞過權限模型 (CVE-2024-22018)

    * nodejs：fs.fchown/fchmod 繞過權限模型 (CVE-2024-36137)

Tenable 已直接從 Rocky Linux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機受到 GLSA-202505-11 中所述的弱點影響 (Node.js：多個弱點)

    在 Node.js 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。

Tenable 已直接從 Gentoo Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2024:5815 公告中提及的多個弱點影響。

    Node.js 是一個軟體開發平台，可使用 JavaScript 程式設計語言建置快速且可擴充的網路應用程式。

    安全性修正：

    * nodejs：透過資料 URL 繞過網路匯入限制 (CVE-2024-22020)

    * nodejs：fs.lstat 繞過權限模型 (CVE-2024-22018)

    * nodejs：fs.fchown/fchmod 繞過權限模型 (CVE-2024-36137)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2024-5814 公告中提及的多個弱點影響。

    nodejs [1:20.16.0-1]
    - 更新至 20.16.0 修正：CVE-2024-36137 CVE-2024-22018 CVE-2024-22020

    nodejs-nodemon nodejs-packaging

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，會受到 ALAS2023-2024-749 公告中所提及的多個弱點影響。

    在 Node.js 中發現一個弱點，當 --allow-fs-read 旗標使用時，此弱點會影響實驗權限模型的使用者。產生此弱點的原因是，權限模型不足，無法透過 fs.lstat API 限制檔案統計資料。因此，惡意執行者可以從他們沒有明確讀取權限的檔案中擷取統計資料。(CVE-2024-22018)

    Node.js 中有一個允許繞過網路匯入限制的安全性缺陷。攻擊者可藉由在資料 URL 中內嵌非網路匯入，執行任意程式碼，進而危害系統安全性。經過多平台驗證，可透過禁止在網路匯入中使用資料 URL 來緩解此弱點。惡意利用此缺陷會違反網路匯入安全性原則，對開發人員和伺服器造成風險。(CVE-2024-22020)

    node-tar 是 Node.js 的 Tar。6.2.1 版之前的 node-tar 對在資料夾建立過程中可建立的子資料夾數目沒有限制。產生大量子資料夾的攻擊者可消耗執行 node-tar 之系統上的記憶體，甚至在使用內含太多子資料夾的路徑執行 Node.js 用戶端后數秒內致使其損毀。6.2.1 版可透過防止在過深的子資料夾中擷取資料來修正此問題。(CVE-2024-28863)

    在 Node.js 中發現一個弱點，當 --allow-fs-write 旗標使用時，此弱點會影響實驗權限模型的使用者。

    Node.js 權限模型無法在檔案描述符號上運作，不過，fs.fchown 或 fs.fchmod 等作業可使用唯讀檔案描述符號來變更檔案的擁有者和權限。
    (CVE-2024-36137)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 AlmaLinux 8 主機已安裝受到多個弱點影響的套件如 ALSA-2024:5814 公告中所提及。

    * node-tar：剖析 tar 檔案時發生拒絕服務，這是因為缺少資料夾深度驗證所導致 (CVE-2024-28863)
    * nodejs：透過資料 URL 繞過網路匯入限制 (CVE-2024-22020)
    * nodejs：fs.lstat 繞過權限模型 (CVE-2024-22018)
    * nodejs：fs.fchown/fchmod 繞過權限模型 (CVE-2024-36137)

Tenable 已直接從 AlmaLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 在 Node.js 中發現一個弱點，當 --allow-fs-read 旗標使用時，此弱點會影響實驗權限模型的使用者。產生此弱點的原因是，權限模型不足，無法透過 fs.lstat API 限制檔案統計資料。因此，惡意執行者可以從他們沒有明確讀取權限的檔案中擷取統計資料。此弱點會影響使用 Node.js 20 和 Node.js 21 版中實驗性權限模型的所有使用者。請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。(CVE-2024-22018)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
206227	Oracle Linux 9：nodejs:20 (ELSA-2024-5815)	Nessus	Oracle Linux Local Security Checks	2024/8/27	2024/11/2	medium
206218	AlmaLinux 9 : nodejs:20 (ALSA-2024:5815)	Nessus	Alma Linux Local Security Checks	2024/8/26	2025/1/13	medium
211368	Amazon Linux 2023：nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2024-768)	Nessus	Amazon Linux Local Security Checks	2024/11/14	2024/11/14	medium
201969	Node.js 18.x < 18.20.4 / 20.x < 20.15.1 / 22.x < 22.4.1 多個弱點 (2024 年 7 月 8 日週一安全性版本)。	Nessus	Misc.	2024/7/8	2025/1/24	high
210568	RHEL 8：nodejs:20 (RHSA-2024:5814)	Nessus	Red Hat Local Security Checks	2024/11/8	2025/3/6	medium
207299	Rocky Linux 9nodejs:20 (RLSA-2024:5815)	Nessus	Rocky Linux Local Security Checks	2024/9/16	2024/9/16	medium
236407	GLSA-202505-11：Node.js：多個弱點	Nessus	Gentoo Local Security Checks	2025/5/14	2025/5/17	critical
210485	RHEL 9：nodejs:20 (RHSA-2024:5815)	Nessus	Red Hat Local Security Checks	2024/11/7	2025/4/29	medium
206219	Oracle Linux 8：nodejs:20 (ELSA-2024-5814)	Nessus	Oracle Linux Local Security Checks	2024/8/26	2024/11/2	medium
210001	Amazon Linux 2023：nodejs20、nodejs20-devel、nodejs20-full-i18n (ALAS2023-2024-749)	Nessus	Amazon Linux Local Security Checks	2024/10/31	2024/10/31	medium
206217	AlmaLinux 8 : nodejs:20 (ALSA-2024:5814)	Nessus	Alma Linux Local Security Checks	2024/8/26	2025/1/13	medium
247533	Linux Distros 未修補的弱點：CVE-2024-22018	Nessus	Misc.	2025/8/10	2025/8/10	low

偵測

搜尋 Plugin

medium

medium

medium

high

medium

medium

critical

medium

medium

medium

medium

low