Rocky Linux 9 主機已安裝的套件會受到 CIQ crlsa-2022_8832 公告中提及的多個弱點影響。

    * nodejs-minimatch：透過 braceExpand 函式 （CVE-2022-3517） 的 ReDoS

    * nodejs：透過無效的八進位 IP 位址在 inspect 中重新綁定 DNS （CVE-2022-43548）

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Splunk 版本低於測試版本。因此，它會受到 SVD-2023-0808 公告中提及的一個弱點影響。

  - 使用 cgo 時，go 命令可能會在構建時執行任意程式碼。在惡意模組上執行 go get 時，或執行構建未受信任程式碼的任何其他命令時，可能會發生這種情況。這可以由透過 #cgo LDFLAGS 指示詞指定的連結器旗標觸發。未正確處理包含內嵌空格的旗標，進而允許透過 LDFLAGS 清理將不允許的旗標包含在另一個旗標的引數中。這會影響 gccgo 編譯器的使用。(CVE-2023-29405)

  - curl 7.84.0 之前版本將 cookie、alt-svc 和 hsts 資料儲存到本機檔案時，會透過將暫存名稱重新命名為最終目標檔案名稱來完成作業，從而使此作業成爲原子型作業。在此重新命名作業中，它可能會意外*放寬*針對目標檔案的權限，讓更多使用者可存取更新後的檔案。(CVE-2022-32207)

  - decode-uri-component 0.2.0 容易產生不當輸入驗證問題，進而導致 DoS。(CVE-2022-38900)

  - Node.js 12.1.0 之前版本的 got 套件 (也已經在 11.8.5 中得到修正) 允許重新導向至 UNIX 通訊端。
    (CVE-2022-33987)

  - 在 webpack loader-utils 中，透過 parseQuery.js 中的名稱變數，可在 parseQuery.js 的 parseQuery 函式中造成原型污染弱點。1.4.1 之前的所有版本和 2.0.3 版本會受到此弱點影響。(CVE-2022-37601)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 8 主機已安裝受到多個弱點影響的套件如 AXSA:2023-4653:01 公告中所提及。

    * minimist原型污染 (CVE-2021-44906)
      * node-fetch將敏感資訊洩漏給未經授權的執行者 (CVE-2022-0235)
      * nodejs-minimatch透過 BracketExpand 函式發生的 ReDoS (CVE-2022-3517)
      * Expressqs 原型毒害造成節點處理程序懸置 (CVE-2022-24999)
      * nodejs透過無效的八進位 IP 位址檢查中的 DNS 重新系結 (CVE-2022-43548)

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Rocky Linux 8 主機已安裝的套件會受到 CIQ crlsa-2023_0050 公告中提及的多個弱點影響。

    * minimist：原型污染 （CVE-2021-44906）

    * node-fetch：將敏感資訊暴露給未經授權的執行者 （CVE-2022-0235）

    * nodejs-minimatch：透過 braceExpand 函式 （CVE-2022-3517） 的 ReDoS

    * express：qs 原型中毒導致節點處理程序 （CVE-2022-24999） 懸置

    * nodejs：透過無效的八進位 IP 位址在 inspect 中重新綁定 DNS （CVE-2022-43548）

Tenable 已直接從 CIQ 安全性公告中擷取上述描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2023-0050 公告中提及的多個弱點影響。

  - Minimist <=1.2.5 容易受到透過檔案 index.js 的 setKey() 函式 (第 69-95 行) 造成的原型污染弱點影響。
    (CVE-2021-44906)

  - node-fetch 容易將敏感資訊洩漏給未經授權的行為者 (CVE-2022-0235)

  - 在 minimatch 套件中發現一個弱點。使用特定引數呼叫 breedExpand 函式時，此缺陷允許發生規則運算式拒絕服務 (ReDoS)，進而導致程式拒絕服務。(CVE-2022-3517)

  - 低於 14.21.1、16.18.1、18.12.1、19.0.1 的 Node.js 版本中存在 OS 命令插入弱點，這是因為 IsAllowedHost 檢查不充分所致，IsIPAddress 在提出 DBS 要求之前未正確檢查 IP 位址是否無效，因而攻擊者可以輕易略過 IsAllowedHost 檢查，執行重新繫結攻擊。https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32212 中針對此問題的修復不完整，所以提供了新的 CVE 來補充此修復。(CVE-2022-43548)

  - 6.10.3 之前的 qs 使用於 4.17.3 之前的 Express 和其他產品中，這會讓攻擊者造成 Express 應用程式的 Node 處理程序懸置，因為可以使用 __ proto__ 金鑰。在許多典型的 Express 使用案例中，未經驗證的遠端攻擊者可將攻擊承載置於用於造訪應用程式的 URL 查詢字串中，例如 a[__proto__]=b&a[__proto__]&a[length]=100000000。修正已反向移植到 qs 6.9.7、6.8.3、6.7.3、6.6.1、6.5.3、6.4.1、6.3.3 和 6.2.4 (因此 Express 4.17.3 不受此弱點影響，其在版本說明中具有 deps:qs@6.9.7)。 (CVE-2022-24999)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。

ID	名稱	產品	系列	已發布	已更新	嚴重性
357166	Rocky Linux 9 [CIQ] 安全性更新：nodejs-packaging / nodejs-packaging-bundler 多個弱點（crlsa-2022_8832）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	high
194928	Splunk Enterprise 8.2.0 < 8.2.12、9.0.0 < 9.0.6、9.1.0 < 9.1.1 (SVD-2023-0808)	Nessus	CGI abuses	2024/5/2	2024/7/29	critical
293711	MiracleLinux 8nodejs:14 nodejs-nodemon-2.0.20-2.module+el8+1579+35966ec0、nodejs-packaging-23-3.module+el8+1579+35966ec0、nodejs-14.21.1-2.module+ el8+1579+35966ec0 (AXSA:2023-4653:01)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/1/20	critical
357159	Rocky Linux 8 [CIQ] 安全性更新：nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 多個弱點（crlsa-2023_0050）	Nessus	Rocky Linux Local Security Checks	2026/10/1	2026/10/1	critical
169719	Oracle Linux 8：nodejs: 14 (ELSA-2023-0050)	Nessus	Oracle Linux Local Security Checks	2023/1/9	2024/11/1	critical

偵測

搜尋 Plugin

high

critical

critical

critical

critical