遠端主機上安裝的 Node.js 版本早於 14.20.0、16.16.0 或 18.5.0。因此，它受到 2022 年 7 月 7 日安全性版本公告中所提及的多個弱點影響。

  - http 模組中的 llhttp 剖析器未正確剖析和驗證 Transfer-Encoding 標頭，這可導致 HTTP 要求走私 (HRS)。發佈後可於 CVE-2022-32213 中取得更多詳細資訊。感謝 Zeyu Zhang (@zeyu2001) 報告此弱點。影響：
    (CVE-2022-32213)

  - http 模組中的 llhttp 剖析器未嚴格使用 CRLF 序列來分隔 HTTP 要求，
    這可導致 HTTP 要求走私 (HRS)。發佈後可於 CVE-2022-32214 中取得更多詳細資訊。感謝 Zeyu Zhang (@zeyu2001) 報告此弱點。影響：
    (CVE-2022-32214)

  - http 模組中的 llhttp 剖析器未正確處理多行 Transfer-Encoding 標頭，這可導致 HTTP 要求走私 (HRS)。發佈後可於 CVE-2022-32215 中取得更多詳細資訊。感謝 Zeyu Zhang (@zeyu2001) 報告此弱點。影響：
    (CVE-2022-32215)

  - 由於 IsIPAddress 未正確檢查 IP 位址是否無效，因此使用者很容易繞過 IsAllowedHost 檢查。當提供無效的 IPv4 位址時 (例如提供 10.0.2.555) ，瀏覽器 (例如 Firefox) 會向 DNS 伺服器發出 DNS 要求，進而為攻擊者控制的 DNS 伺服器或可偽造 DNS 回應的 MITM 提供向量，以執行重新繫結攻擊並因此連線至 WebSocket 除錯程式，進而引致任意程式碼執行攻擊。這可以略過 CVE-2021-22884。發佈後可於 CVE-2022-32212 中取得更多詳細資訊。感謝 Axel Chong 報告此弱點。影響：(CVE-2022-32212)

  - 如果受害者在 Windows 系統上有下列依存關係，則此弱點可能遭攻擊者利用：
    只要出現上述情況，node.exe 就會在目前的使用者目錄中搜尋 provider.dll。之後，node.exe 會嘗試依照 Windows 中的 DLL 搜尋順序搜尋 provider.dll。
    攻擊者可能在多個路徑下放置惡意檔案 providers.dll，以利用此弱點。發佈後可於 CVE-2022-32223 中取得更多詳細資訊。感謝 Aqua Security 的 Yakir Kadkoda 報告此弱點。影響：注意：Node.js 可透過指定環境變數 OPENSSL_CONF 或使用命令行選項 --openssl-conf 來使用 OpenSSL 設定檔，如果未指定任何選項，則會依預設讀取預設的 OpenSSL 設定檔 openssl.cnf。Node.js 只會讀取預設名稱為 nodejs_conf 的區段。如果您在安裝時使用的是預設的 openssl.cnf 檔案，並且受到此重大變更的影響，您可以透過以下方式回復至先前的行為：(CVE-2022-32223)

  - 在 Linux 型系統上啟動 Node.js 時，它會嘗試讀取通常不存在的 /home/iojs/build/ws/out/Release/obj.target/deps/openssl/openssl.cnf。在某些共用系統上，攻擊者可能會建立此檔案，並因此影響其他使用者的預設 OpenSSL 組態。感謝 OpenSSF Alpha-omega 專案的 Michael Scovetta 報告此弱點。影響：(CVE-2022-32222)

  - 在某些情況下，使用 AES-NI 組件最佳化實作的 32 位元 x86 平台的 AES OCB 模式將不會加密完整的資料。這可能會洩漏預先存在於未寫入記憶體中的 16 位元組資料。在就地加密的特殊情況下，會洩漏純文字的 16 位元組。由於 OpenSSL 不支援適用於 TLS 和 DTLS 的 OCB 型加密套件，因此兩者均不受影響。影響：(CVE-2022-2097)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它受到 ALAS2023-2023-084 公告中所提及的多個弱點影響。

  - 剖析器接受冒號前的標頭名稱後帶有一個空格 (SP) 的要求。這可導致低於 2.1.4 版和 6.0.6 版的 llhttp 發生 HTTP 要求走私。(CVE-2021-22959)

  - 在低於 2.1.4 版和 6.0.6 版的 llhttp 中，parse 函式在剖析區塊要求的內文時會忽略區塊延伸模組。在某些情況下，這會導致 HTTP 要求走私 (HRS)。(CVE-2021-22960)

  - ** 有爭議** 即使 package-lock.json 中的相依性資訊與 package.json 中的不同，npm 7.x 和 8.x 至 8.1.3 版本中的 npm ci 命令仍會繼續執行安裝。此行為與說明文件不一致，這讓攻擊者更容易安裝本應透過 package-lock.json 中的版本完全符合要求封鎖的惡意軟體。注意：npm 團隊認為這不是弱點。這需要有人以社交工程的方式入侵其中的相依性與 package-lock.json 不同的 package.json。該使用者必須擁有檔案系統或寫入權限，才能變更相依性。npm 團隊表示，防止惡意執行者進行社交工程入侵或取得檔案系統存取權超出了 npm CLI 的範圍。(CVE-2021-43616)

  - 接受任意主體別名 (SAN) 類型 (除非特別定義 PKI 以使用特定 SAN 類型) 可導致繞過限制名稱的中繼體。Node.js < 12.22.9、< 14.18.3、< 16.13.2 和 < 17.3.1 接受通常定義為不使用 PKI 的 URI SAN 類型。
    此外，當通訊協定允許 URI SAN 時，Node.js 未與 URI 正確相符。具有此修正的 Node.js 版本會在針對主機名稱檢查憑證時停用 URI SAN 類型。此行為可透過 --security-revert 命令列選項還原。(CVE-2021-44531)

  - Node.js < 12.22.9、< 14.18.3、< 16.13.2 和 < 17.3.1 會將 SAN (主體別名) 轉換為字串格式。驗證連線時，它會使用此字串根據主機名稱檢查對等憑證。在憑證鏈中使用名稱限制時，字串格式容易受到一個插入弱點影響，進而允許繞過這些名稱限制。具有此修正的 Node.js 版本會溢出包含問題字元的 SAN，以防止插入。此行為可透過 --security-revert 命令列選項還原。(CVE-2021-44532)

  - Node.js < 12.22.9、< 14.18.3、< 16.13.2 和 < 17.3.1 未正確處理多值相對辨別名稱。例如，攻擊者可建構包含單值相對辨別名稱的憑證主體，該名稱會被解譯為多值相對辨別名稱，以便插入允許繞過憑證主體驗證的通用名稱。受影響的 Node.js 版本不會接受多值相對辨別名稱，因此本身不會受到此類攻擊影響。但是，憑證主體使用節點不明確表示法的第三方程式碼可能會受到影響。(CVE-2021-44533)

  - 由於 console.table() 函式的格式化邏輯，在傳送具有至少一個屬性的純物件 (可能是 __proto__) 的同時，將使用者控制的輸入傳送至屬性參數是不安全的。原型污染的控制權非常有限，因為它只允許將空字串指派給物件原型的數值金鑰。Node.js >= 12.22.9、>= 14.18.3、>= 16.13.2 和 >= 17.3.1 使用這些屬性獲派的物件空值原型。(CVE-2022-21824)

  - 14.20.0、16.20.0、18.5.0 之前的 Node.js 版本中有一個 OS 命令注入弱點，這是因為 IsAllowedHost 檢查不充分所致，因為 IsIPAddress 在提出 DBS 要求之前未正確檢查 IP 位址是否無效，進而允許重新系結攻擊。(CVE-2022-32212)

  - Node.js http 模組中的 llhttp 剖析器 (小於 v14.20.1、v16.17.1 和 v18.9.1) 未正確剖析和驗證 Transfer-Encoding 標頭，進而可能導致 HTTP 要求走私 (HRS)。(CVE-2022-32213)

  - Node.js http 模組中的 llhttp 剖析器 (小於 v14.20.1、v16.17.1 和 v18.9.1) 未嚴格使用 CRLF 序列來分隔 HTTP 要求。這可導致 HTTP 要求走私 (HRS)。
    (CVE-2022-32214)

  - Node.js http 模組中的 llhttp 剖析器 (小於 v14.20.1、v16.17.1 和 v18.9.1) 未正確處理多行傳輸編碼標頭。這可導致 HTTP 要求走私 (HRS)。
    (CVE-2022-32215)

  - 低於 18.40.0 的 Linux 18.x 版本上的 Node.js 存在密碼編譯弱點，其允許使用 openssl.cnf 的預設路徑，在某些情況下，非管理員使用者可以存取此預設路徑，而不是 /etc/ssl，在未升級至 OpenSSL 3 的版本中也會發生此情況。(CVE-2022-32222)

  - 在某些情況下，Windows 平台上的 Node.js 容易受到劫持執行流程的DLL 劫持攻擊。如果受害者在 Windows 系統上有下列依存關係，則此弱點可能遭攻擊者利用：* 已安裝 OpenSSL 並且存在 C: \Program Files\Common Files\SSL\openssl.cnf。只要存在上述情況，`node.exe` 就會在目前的使用者目錄中搜尋`providers.dll` 。之後， `node.exe` 會嘗試在 Windows 中依 DLL 搜尋順序搜尋 `providers.dll`。攻擊者可能將惡意檔案 `providers.dll` 放置在不同路徑之下並利用此弱點。(CVE-2022-32223)

  - Node.js 18 存在 WebCrypto keygen 的弱隨機性弱點，這是由於 src/crypto/crypto_keygen.cc 中 SecretKeyGenTraits: : DoKeyGen() 的 EntropySource() 變更所致。此處有兩個問題：1) 它不檢查傳回值，而是假設 EntropySource() 總是成功，但它 (有時) 可能會失敗。2) EntropySource() 傳回的隨機資料在密碼編譯上可能不強，因此不適合作為金鑰內容。(CVE-2022-35255)

  - Node v18.7.0 的 http 模組中的 llhttp 剖析器未正確處理非以 CLRF 結尾的標頭欄位，這可能會導致 HTTP 要求走私攻擊。(CVE-2022-35256)

  - 在 X.509 憑證驗證中可觸發緩衝區滿溢，特別是在名稱限制檢查中。請注意，此問題會在憑證鏈簽章驗證之後發生，且需要 CA 簽署惡意憑證，或是即使無法建構受信任的簽發者路徑，應用程式仍需繼續進行憑證驗證。攻擊者可建構惡意電子郵件地址，造成堆疊中溢出四個受攻擊者控制的位元組。此緩衝區溢位問題可能會導致當機 (造成拒絕服務攻擊)，或觸發遠端程式碼執行攻擊。許多平台已實作堆疊溢位保護措施，可減輕遠端程式碼執行的風險。可根據任何指定平台/編譯器的堆疊配置進一步降低風險。 CVE-2022-3602 的預先公告將此問題描述為「重大」。根據上述一些減輕風險的因素進行進一步分析後，已將此問題降級為「高風險」。仍建議使用者盡快升級至新版本。在 TLS 用戶端中，藉由連線至惡意伺服器即可觸發此問題。
    在 TLS 伺服器中，如果伺服器要求用戶端驗證且惡意用戶端連線，則可觸發此問題。已在 OpenSSL 3.0.7 中修正 (受影響的是 3.0.0、3.0.1、3.0.2、3.0.3、3.0.4、3.0.5、3.0.6)。(CVE-2022-3602)

  - 在 X.509 憑證驗證中可觸發緩衝區滿溢，特別是在名稱限制檢查中。請注意，此問題會在憑證鏈簽章驗證之後發生，且需要 CA 簽署惡意憑證，或是即使無法建構受信任的簽發者路徑，應用程式仍需繼續進行憑證驗證。攻擊者可在憑證中建構惡意電子郵件地址，造成堆疊中溢出任意數量包含「.」的位元組 (十進位 46)。此緩衝區溢位問題可能會導致當機 (造成拒絕服務攻擊)。在 TLS 用戶端中，藉由連線至惡意伺服器即可觸發此問題。在 TLS 伺服器中，如果伺服器要求用戶端驗證且惡意用戶端連線，則可觸發此問題。(CVE-2022-3786)

  - 低於 14.21.1、16.18.1、18.12.1、19.0.1 的 Node.js 版本中存在 OS 命令插入弱點，這是因為 IsAllowedHost 檢查不充分所致，IsIPAddress 在提出 DBS 要求之前未正確檢查 IP 位址是否無效，因而攻擊者可以輕易略過 IsAllowedHost 檢查，執行重新繫結攻擊。https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32212 中針對此問題的修復不完整，所以提供了新的 CVE 來補充此修復。(CVE-2022-43548)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 Node.js 版本早於 14.20.1、16.17.1 或 18.9.1。因此，它受到 2022 年 9 月 23 日安全性版本公告中所提及的多個弱點影響。

  - 針對 CVE-2022-32212 的修復涵蓋可路由 IP 位址的情況，但是在處理 http://0.0.0.0 URL 時，macOS 裝置上存在一個特定行為，該行為允許受攻擊者控制的 DNS 伺服器藉由解析 .local 網域中的主機來繞過 DNS 重新繫結保護。受攻擊者控制的 DNS 伺服器可將 <Computer Name>.local 解析為任意 IP 位址，進而造成受害者的瀏覽器在 http://0.0.0.0 載入任意內容。這讓攻擊者可以繞過 DNS 重新繫結保護。感謝 Zeyu Zhang (@zeyu2001) 報告此弱點，同時感謝 Rafael Gonzaga 修復此弱點。影響：(CVE-2022-32212)

  - 由於針對 CVE-2022-32215 的修復不夠完全，Node.js v16.16.0 和 18.7.0 中 http 模組中的 llhttp 剖析器無法正確處理多行 Transfer-Encoding 標頭，這可導致 HTTP 要求走私 (HRS)。感謝 JFrog CSO 團隊的 Liav Gutman 報告此弱點，同時感謝 Paolo Insogna 修復此弱點。影響：(CVE-2022-32215)

  - 使用 Node.js HTTP 剖析器支援的 obs-fold 可繞過針對 CVE-2022-32213 的修復。如果使用 Node.js HTTP 模組作為 Proxy，則它會在折疊標頭時錯誤地將 transfer-encoding 標頭剖析為指示區塊要求，並因此向下游伺服器轉送 Transfer-Encoding: chunked abc，而這並非有效的 transfer-encoding 標頭。因此，這可導致 CVE-2022-32213 中指出的 HTTP 要求走私攻擊。感謝 Haxatron 報告此弱點。
    影響：(CVE-2022-32213)

  - Node.js v18.7.0 的 http 模組中的 llhttp 剖析器未正確處理非以 CLRF 結尾的標頭欄位，這可能會導致 HTTP 要求走私攻擊。感謝 VVX7 報告此弱點。影響：(CVE-2022-35256)

  - 在 MacOS 主機上的 Node.js 18 和更高版本中，處理程序在啓動時會嘗試讀取通常不存在的 /home/iojs/build/ws/out/Release/obj.target/deps/openssl/openssl.cnf。攻擊者若可以使用自行選擇的使用者名稱 (iojs) 存取共用 MacOS 主機，則可影響其他使用者的 OpenSSF 組態。感謝 Michael Dawson 報告 (並修復) 此弱點。影響：(CVE-2022-32222)

  - Node.js 會呼叫 src/crypto/crypto_keygen.cc 中 SecretKeyGenTraits: : DoKeyGen() 的 EntropySource()，
    但不會檢查傳回值，而是會假設 EntropySource() 總是成功，但實際上它可能 (有時會) 失敗。感謝 Ben Noordhuis 報告 (並修復) 此弱點。影響：
    (CVE-2022-35255)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
165634	Node.js 14.x < 14.20.0 / 16.x < 16.16.0 / 18.x < 18.5.0 多個弱點 (2022 年 7 月 7 日安全性版本)。	Nessus	Misc.	2022/10/3	2024/1/9	high
173113	Amazon Linux 2023：nodejs、nodejs-devel、nodejs-full-i18n (ALAS2023-2023-084)	Nessus	Amazon Linux Local Security Checks	2023/3/21	2024/12/11	critical
165633	Node.js 14.x < 14.20.1 / 16.x < 16.17.1 / 18.x < 18.9.1 多個弱點 (2022 年 9 月 23 日安全性版本)。	Nessus	Misc.	2022/10/3	2024/1/9	critical
195166	GLSA-202405-29：Node.js：多個弱點	Nessus	Gentoo Local Security Checks	2024/5/8	2024/5/8	critical

偵測

搜尋 Plugin

high

critical

critical

critical