リモートのRedhat Enterprise Linux 7ホストにインストールされているパッケージは、RHSA-2021：3280アドバイザリに記載されている複数の脆弱性の影響を受けます。

  -nodejs-glob-parent：正規表現のサービス拒否 (CVE-2020-28469)

  - nodejs-ini: 悪意のあるINIファイルを介したプロトタイプ汚染（CVE-2020-7788）

  - nodejs: ストリームキャンセル時にhttp2を閉じる際のメモリ解放後使用（Use After Free）（CVE-2021-22930、 CVE-2021-22940）

  - nodejs: ドメイン名の特殊文字の不適切な処理（CVE-2021-22931）

  - nodejs: tls rejectUnauthorized パラメーターの不完全な検証（CVE-2021-22939）

  -nodejs-path-parse：splitDeviceRe、splitTailRe、およびsplitPatによるReDoS（CVE-2021-23343）

  -nodejs-tar：任意のファイルの作成および上書きが可能となる不十分なシンボリックリンクの保護（CVE-2021-32803）

  -nodejs-tar：任意のファイルの作成および上書きが可能となる絶対パスの不適切なサニタイズ（CVE-2021-32804）

  - c-ares：ホスト名の入力検証が行われず、ドメインハイジャックが引き起こされる可能性があります (CVE-2021-3672)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

RHEL 7：rh-nodejs14-nodejsおよびrh-nodejs14-nodejs-nodemon（RHSA-2021: 3280)

critical Nessus プラグイン ID 152863

バージョン 1.10