現已提供適用於 Red Hat Enterprise Linux 7 的 http-parser 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。http-parser 套件會提供一個公用程式，可用來剖析 HTTP 訊息。它會同時剖析要求和回應。剖析器專門設計用於效能 HTTP 應用程式。它不會進行任何系統呼叫或配置，不會緩衝資料，而且可以隨時中斷。視具體架構而定，它的每個訊息串流只需要大約 40 個位元組的資料。安全性修正：* nodejs：大型 HTTP 標頭的拒絕服務 (CVE-2018-12121) * nodejs：HTTP 剖析器允許在 Content-Length 標頭值內使用空格 (CVE-2018-7159) 如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。其他變更：如需有關此發行版本的詳細變更資訊，請參閱可從〈參照〉一節連結的 Red Hat Enterprise Linux 7.7 版本資訊。

Node.js 所有当前版本中的 HTTP 解析器都会忽略“Content-Length”标头中的空格，造成类似于“Content Length 的输入: 1 2”的输入被解释成值为“12”的情况。HTTP 规范不允许“Content-Length”值中存在空格，而 Node.js HTTP 解析器保留了这个特定差异。此缺陷对 Node.js 用户的安全风险可视为非常低，通过提供不正确的“Content-Length”值尚未实现的方式来利用此缺陷构建攻击非常困难，甚至不存在可能性。相较于所提供数据的实际长度，用户代码可能会对此值的潜在准确性做出错误假设，从而存在漏洞。建议构建低级别 HTTP 实用工具的 Node.js 用户在解析完成后，重新检查所提供的任何输入的长度。(CVE-2018-7159) 影响 BIG-IP 根据 CVE-2018-7159，不可能通过提供不正确的“Content-Length”值尚未实现的方式来利用此缺陷构建攻击。但当该缺陷受到利用时，可能会造成受影响的 Node.js 组件出现意外行为。BIG-IQ、F5 iWorkflow、Enterprise Manager 和 Traffix SDC 不存在影响；这些 F5 产品未受到此漏洞影响。

http-parser 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。http-parser 程序包会提供一个实用工具，可用来解析 HTTP 消息。它会同时解析请求和响应。解析器专门设计用于效能 HTTP 应用程序。它不会进行任何系统调用或配置，不会缓冲数据，而且可以随时中断。视具体架构而定，它的每个消息流只需要大约 40 个字节的数据。安全修复：* nodejs：具有大型 HTTP 标头拒绝服务 (CVE-2018-12121) * nodejs：HTTP 解析器允许 Content-Length 标头值内的空间 (CVE-2018-7159) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。更多变更：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.7 发行说明。

安全修复：- nodejs：使用大型 HTTP 标头拒绝服务 (CVE-2018-12121) - nodejs：HTTP 解析器允许 Content-Length 标头值内的空格 (CVE-2018-7159)

远程 Oracle Linux 7 主机上安装的多个程序包受到 ELSA-2019-2258 公告中提及的多个漏洞影响。

  - Node.js：Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：具有大型 HTTP 标头拒绝服务：通过使用具有最大尺寸标头（每个连接约 80 KB）的许多请求和仔细计算完成时间的标头，有可能造成 HTTP 服务器因堆分配故障而中止。可使用负载均衡器或其他代理层缓解潜在攻击。(CVE-2018-12121)

  - Node.js 所有当前版本中的 HTTP 解析器都会忽略 `Content-Length` 标头中的空格，造成类似于“Content Length 的输入: 1 2”的输入被解释成值为“12”的情况。HTTP 规范不允许“Content-Length”值中存在空格，而 Node.js HTTP 解析器保留了这个特定差异。此缺陷对 Node.js 用户的安全风险可视为非常低，通过提供不正确的“Content-Length”值尚未实现的方式来利用此缺陷构建攻击非常困难，甚至不存在可能性。
    相较于所提供数据的实际长度，用户代码可能会对此值的潜在准确性做出错误假设，从而存在漏洞。建议构建低级别 HTTP 实用工具的 Node.js 用户在解析完成后，重新检查所提供的任何输入的长度。
    (CVE-2018-7159)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Node.js 版本为低于 4.9.0 的 4.x、低于 6.14.0 的 6.x、低于 8.11.0 的 8.x 或低于 9.10.0 的 9.x。因此，该应用程序受到多个漏洞的影响。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

ID	名稱	產品	系列	已發布	已更新	嚴重性
127700	RHEL 7：http-parser (RHSA-2019:2258)	Nessus	Red Hat Local Security Checks	2019/8/12	2024/4/28	medium
129307	F5 网络 BIG-IP：Node.js 漏洞 (K27228191)	Nessus	F5 Networks Local Security Checks	2019/9/25	2023/11/3	medium
127700	RHEL 7 : http-parser (RHSA-2019:2258)	Nessus	Red Hat Local Security Checks	2019/8/12	2024/4/28	medium
128222	Scientific Linux 安全更新：SL7.x x86_64 上的 http-parser	Nessus	Scientific Linux Local Security Checks	2019/8/27	2020/2/24	medium
180827	Oracle Linux 7：http-parser (ELSA-2019-2258)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	medium
118933	Node.js 多个漏洞（2018 年 3 月安全版本）。	Nessus	Misc.	2018/11/14	2024/1/9	high

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

high