AlmaLinux 9nodejsALSA-2022:6963

critical Nessus プラグイン ID 166267

概要

リモートの AlmaLinux ホストに、1 つ以上のセキュリティ更新がありません。

説明

リモートのAlmaLinux 9ホストには、ALSA-2022:6963アドバイザリに記載されているように、複数の脆弱性の影響を受けるパッケージがインストールされています。

- Node.js は、src/crypto/crypto_keygen.cc の SecretKeyGenTraits::DoKeyGen() で EntropySource() に呼び出しを行いました。
ただし、戻り値はチェックされません。EntropySource() は常に成功することを前提としていますが、失敗する可能性があります (しばしば失敗します)。この脆弱性を報告 (修正も!) してくれた Ben Noordhuis 氏に感謝の意を表します。影響:
(CVE-2022-35255)

- Node.js v18.7.0 の http モジュールの llhttp パーサーが、CLRF で終了しないヘッダーフィールドを正しく処理しません。これにより、HTTP リクエストスマグリングが発生する可能性があります。この脆弱性を報告してくれた VVX7 に感謝の意を表します。影響CVE-2022-35256

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

影響を受けるパッケージを更新してください。

参考資料

https://errata.almalinux.org/9/ALSA-2022-6963.html

プラグインの詳細

深刻度: Critical

ID: 166267

ファイル名: alma_linux_ALSA-2022-6963.nasl

バージョン: 1.5

タイプ: local

公開日: 2022/10/19

更新日: 2023/10/9

サポートされているセンサー: Continuous Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 6.0

CVSS v2

リスクファクター: High

基本値: 9.4

現状値: 7.4

ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N

CVSS スコアのソース: CVE-2022-35255

CVSS v3

リスクファクター: Critical

基本値: 9.1

現状値: 8.2

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C

脆弱性情報

CPE: p-cpe:/a:alma:linux:nodejs, p-cpe:/a:alma:linux:nodejs-libs, cpe:/o:alma:linux:9::appstream, p-cpe:/a:alma:linux:nodejs-full-i18n, cpe:/o:alma:linux:9, p-cpe:/a:alma:linux:nodejs-docs, p-cpe:/a:alma:linux:npm

必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2022/10/18

脆弱性公開日: 2022/9/15

参照情報

CVE: CVE-2022-35255, CVE-2022-35256

CWE: 330, 444