這項將 nodejs6 更新至 6.17.0 版本的更新修正了下列問題：修正的安全性問題：CVE-2019-5739：修正一個潛在的攻擊媒介，此攻擊媒介可能在 HTTP 連線維持使用中狀態時導致拒絕服務 (bsc#1127533)。CVE-2019-5737：修正一個潛在的攻擊媒介，此攻擊媒介可能在 HTTP 連線維持使用中狀態時導致拒絕服務 (bsc#1127532)。CVE-2019-1559：修正 OpenSSL 0 位元組記錄 Padding Oracle，在某些情況下，TLS 伺服器會被強迫以不同方式回應用戶端，而導致資料解密 (bsc#1127080)。版本資訊：https://nodejs.org/en/blog/release/v6.17.0/ 請注意，Tenable Network Security 已直接從 SUSE 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端主機受到 GLSA-202003-48 中所述的弱點影響 (Node.js：多個弱點)

    在 Node.js 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可能編寫任意檔案，造成拒絕服務情形或進行 HTTP 要求分割攻擊。
  因應措施：

    目前尚無已知的因應措施。

根據其自我報告的版本號碼，遠端 Junos Space 版本為 19.2R1 以前的版本。因此，會受到多個弱點影響：- 在 7.51.0 版本之前，名為 「curl_maprintf()」的 libcurl API 函式中有一個記憶體雙重釋放弱點，這是因為使用 32 位元「size_t」變數的系統上使用不安全的「size_t」乘法。未經驗證的遠端攻擊者可利用此問題執行未經授權的動作。這可能有助於發動進一步的攻擊。(CVE-2016-8618) - Node.js 6.16.0 及之前的版本中有一個拒絕服務 (DoS) 弱點，這是因為持續的 HTTP 和 HTTPS 連線會維持開放及無活動狀態長達 2 分鐘。未經驗證的遠端攻擊者可惡意利用此問題，造成拒絕服務。(CVE-2016-8619) - 7.51.0 版之前的 curl 中有一個弱點，這是因為使用了過期的 IDNA 2003 標準來處理國際網域名稱。這可能導致使用者在不知情的情況下將網路傳送要求發給錯誤的主機。(CVE-2016-8625)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 在 Node.js 6.16.0 和更舊版本中Keep-alive HTTP 和 HTTPS 連線可在長達 2 分鐘內維持開啟及非作用中狀態。Node.js 8.0.0 引入了預設為 5 秒的專用 server.keepAliveTimeout。Node.js 6.16.0 和更舊版本中的行為是潛在的拒絕服務 (DoS) 攻擊向量。Node.js 6.17.0 引入 server.keepAliveTimeout 和 5 秒預設。 (CVE-2019-5739)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
123551	SUSE SLES12 安全性更新：nodejs6 (SUSE-SU-2019:0818-1)	Nessus	SuSE Local Security Checks	2019/4/1	2022/12/5	medium
134776	GLSA-202003-48：Node.js：多個弱點	Nessus	Gentoo Local Security Checks	2020/3/23	2024/3/21	critical
131701	Juniper Junos Space < 19.2R1 多個弱點 (JSA10951)	Nessus	Junos Local Security Checks	2019/12/4	2024/4/5	critical
252431	Linux Distros 未修補的弱點：CVE-2019-5739	Nessus	Misc.	2025/8/20	2025/8/20	high

偵測

搜尋 Plugin

medium

critical

critical

high