遠端主機受到 GLSA-202003-48 中所述的弱點影響 (Node.js：多個弱點)

    在 Node.js 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    遠端攻擊者可能編寫任意檔案，造成拒絕服務情形或進行 HTTP 要求分割攻擊。
  因應措施：

    目前尚無已知的因應措施。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 0579 公告中提及的多個弱點影響。

  - nodejs：利用格式錯誤的憑證字串，遠端觸發 TLS 伺服器上的宣告 (CVE-2019-15604)

  - nodejs：使用格式錯誤的 Transfer-Encoding 標頭發動 HTTP 要求走私 (CVE-2019-15605)

  - nodejs：HTTP 標頭值未修剪結尾的選用空格 (CVE-2019-15606)

  - npm：安裝時，透過 bin 欄位在 node_modules 資料夾外部發生符號連結參照 (CVE-2019-16775)

  - npm：在 package.json bin 欄位，透過建構的項目，發生任意檔案寫入 (CVE-2019-16776)

  - npm：全域 node_modules 二進位覆寫 (CVE-2019-16777)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2020-0579 公告中提及的多個弱點影響。

  - Nodejs 10、12 和 13 版的 HTTP 標頭值中包含結尾空格，會造成攻擊者根據標頭值比較結果繞過授權 (CVE-2019-15606)

  - npm CLI 6.13.3 之前版本容易受到任意檔案寫入攻擊。在安裝時，套件可以透過 bin 欄位建立指向在 node_modules 資料夾之外檔案的符號連結。在 package.json bin 欄位中有一個正確建構的項目，允許套件發行者在安裝套件時，建立指向使用者系統上任意檔案的符號連結。透過安裝指令碼仍可能發生此行為。此弱點會繞過使用 --ignore-scripts 安裝選項的使用者。(CVE-2019-16775)

  - npm CLI 6.13.4 之前版本容易受到任意檔案覆寫攻擊。其無法防止其他套件安裝程式覆寫現有的全域安裝二進位檔。例如，如果全域安裝套件並建立了一個服務二進位檔，則所有亦可建立服務二進位的後續套件安裝作業會覆寫先前的服務二進位檔。在本機安裝和透過安裝指令碼安裝時，仍會允許此行為。此弱點會繞過使用 --ignore-scripts 安裝選項的使用者。(CVE-2019-16777)

  - Node.js 10、12 和 13 中存在憑證驗證不當錯誤，透過傳送特製的 X.509 憑證，可造成處理程序中止 (CVE-2019-15604)

  - 傳輸編碼格式錯誤時，Node.js 10、12 和 13 中的 HTTP 要求走私造成惡意承載遞送 (CVE-2019-15605)

  - npm CLI 6.13.3 之前版本容易受到任意檔案寫入攻擊。它無法防止透過 bin 欄位存取預定 node_modules 資料夾之外的資料夾。在 package.json bin 欄位中有一個正確建構的項目，允許套件發行者在安裝套件時，修改和/或取得使用者系統上任意檔案的存取權限。透過安裝指令碼仍可能發生此行為。此弱點會繞過使用 --ignore-scripts 安裝選項的使用者。(CVE-2019-16776)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 2625 公告中提及的多個弱點影響。

  - nodejs-brace-expansion：規則運算式拒絕服務 (CVE-2017-18077)

  - nodejs-chownr：chownr.js 的「chownr」函式中的 TOCTOU 弱點 (CVE-2017-18869)

  - nodejs-sshpk：剖析 lib/formats/ssh.js 中特製的無效公開金鑰時發生 ReDoS (CVE-2018-3737)

  - nodejs-deep-extend：原型污染允許攻擊者修改物件屬性 (CVE-2018-3750)

  - npm：安裝時，透過 bin 欄位在 node_modules 資料夾外部發生符號連結參照 (CVE-2019-16775)

  - npm：在 package.json bin 欄位，透過建構的項目，發生任意檔案寫入 (CVE-2019-16776)

  - npm：全域 node_modules 二進位覆寫 (CVE-2019-16777)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2020: 0573 公告中提及的多個弱點影響。

  - nodejs：利用格式錯誤的憑證字串，遠端觸發 TLS 伺服器上的宣告 (CVE-2019-15604)

  - nodejs：使用格式錯誤的 Transfer-Encoding 標頭發動 HTTP 要求走私 (CVE-2019-15605)

  - nodejs：HTTP 標頭值未修剪結尾的選用空格 (CVE-2019-15606)

  - npm：安裝時，透過 bin 欄位在 node_modules 資料夾外部發生符號連結參照 (CVE-2019-16775)

  - npm：在 package.json bin 欄位，透過建構的項目，發生任意檔案寫入 (CVE-2019-16776)

  - npm：全域 node_modules 二進位覆寫 (CVE-2019-16777)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 0597 公告中提及的多個弱點影響。

  - nodejs：利用格式錯誤的憑證字串，遠端觸發 TLS 伺服器上的宣告 (CVE-2019-15604)

  - nodejs：使用格式錯誤的 Transfer-Encoding 標頭發動 HTTP 要求走私 (CVE-2019-15605)

  - nodejs：HTTP 標頭值未修剪結尾的選用空格 (CVE-2019-15606)

  - npm：安裝時，透過 bin 欄位在 node_modules 資料夾外部發生符號連結參照 (CVE-2019-16775)

  - npm：在 package.json bin 欄位，透過建構的項目，發生任意檔案寫入 (CVE-2019-16776)

  - npm：全域 node_modules 二進位覆寫 (CVE-2019-16777)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2020: 0602 公告中提及的多個弱點影響。

  - nodejs：利用格式錯誤的憑證字串，遠端觸發 TLS 伺服器上的宣告 (CVE-2019-15604)

  - nodejs：使用格式錯誤的 Transfer-Encoding 標頭發動 HTTP 要求走私 (CVE-2019-15605)

  - nodejs：HTTP 標頭值未修剪結尾的選用空格 (CVE-2019-15606)

  - npm：安裝時，透過 bin 欄位在 node_modules 資料夾外部發生符號連結參照 (CVE-2019-16775)

  - npm：在 package.json bin 欄位，透過建構的項目，發生任意檔案寫入 (CVE-2019-16776)

  - npm：全域 node_modules 二進位覆寫 (CVE-2019-16777)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 CentOS Linux 8 主機上安裝的套件受到 CESA-2020: 0579 公告中提及的多個弱點影響。

  - nodejs：利用格式錯誤的憑證字串，遠端觸發 TLS 伺服器上的宣告 (CVE-2019-15604)

  - nodejs：使用格式錯誤的 Transfer-Encoding 標頭發動 HTTP 要求走私 (CVE-2019-15605)

  - nodejs：HTTP 標頭值未修剪結尾的選用空格 (CVE-2019-15606)

  - npm：安裝時，透過 bin 欄位在 node_modules 資料夾外部發生符號連結參照 (CVE-2019-16775)

  - npm：在 package.json bin 欄位，透過建構的項目，發生任意檔案寫入 (CVE-2019-16776)

  - npm：全域 node_modules 二進位覆寫 (CVE-2019-16777)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
134776	GLSA-202003-48：Node.js：多個弱點	Nessus	Gentoo Local Security Checks	2020/3/23	2024/3/21	critical
134062	RHEL 8：nodejs: 10 (RHSA-2020: 0579)	Nessus	Red Hat Local Security Checks	2020/2/26	2024/4/28	critical
140035	Oracle Linux 8：nodejs: 10 (ELSA-2020-0579)	Nessus	Oracle Linux Local Security Checks	2020/8/28	2024/2/22	critical
170350	RHEL 7：rh-nodejs8-nodejs (RHSA-2020: 2625)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/4/28	critical
134028	RHEL 8：nodejs: 10 (RHSA-2020: 0573)	Nessus	Red Hat Local Security Checks	2020/2/25	2024/3/26	critical
170312	RHEL 7：rh-nodejs10-nodejs (RHSA-2020: 0597)	Nessus	Red Hat Local Security Checks	2023/1/23	2023/9/7	critical
170354	RHEL 7：rh-nodejs12-nodejs (RHSA-2020: 0602)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/4/28	critical
145979	CentOS 8：nodejs：10 (CESA-2020: 0579)	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/24	critical

偵測

搜尋 Plugin

critical

critical

critical

critical

critical

critical

critical

critical