リモートホストにインストールされているNode.jsのバージョンは、 10.22.1または12.18.4または14.11.0より前のものです。したがって、september-2020-security-releasesのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 影響を受けるNode.jsバージョンは、解析する前に、HTTPリクエストヘッダー内のキャリッジリターンをハイフンに変換していました。
    これは、ヘッダーの非標準解釈であり、HTTPリクエストスマグリングにつながる可能性があります。
    （CVE-2020-8201）

  - Node.jsは、リクエストの送信が遅れたことに基づくHTTPサービス拒否（DOS）攻撃に対して脆弱です。そのため、サーバーが新しい接続を受け入れられなくなる可能性があります。修正は、デフォルトで無効になることを意味する0のデフォルト値を持つrequestTimeoutという名前の新しいhttp.Serverオプションです。Node.jsをエッジサーバーとして使用する場合は、これを設定する必要があります。（CVE-2020-8251）

  - libuvのrealpath実装がバッファサイズを誤って決定していました。そのため、解決されたパスが256バイトを超える場合にバッファオーバーフローが起きる可能性があります。（CVE-2020-8252）

Nessusはこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Node.jsの複数の脆弱性（2020年9月のセキュリティリリース）

high Nessus プラグイン ID 140795

バージョン 1.10