遠端 Rocky Linux 8 主機已安裝受到多個弱點影響的套件如 RLSA-2022:6964 公告中所提及。

  - Node v18.7.0 的 http 模組中的 llhttp 剖析器未正確處理非以 CLRF 結尾的標頭欄位，這可能會導致 HTTP 要求走私攻擊。(CVE-2022-35256)

  - 在 Node.js 18 中，WebCrypto keygen 弱點存在弱式隨機性，這是因為 src/crypto/crypto_keygen.cc 的 SecretKeyGenTraits::DoKeyGen() 中的 EntropySource() 變更所致。此隨機性帶來兩個問題：1) 它不會檢查傳回值，而是假設 EntropySource() 總是成功，但可能 (且有時會) 失敗。2) EntropySource() 傳回的隨機資料在密碼編譯方面可能不強，因此不適合作為金鑰產製原料。(CVE-2022-35255)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

偵測

Rocky Linux 8nodejs:16 (RLSA-2022:6964)

critical Nessus Plugin ID 167815

版本 1.7