リモートの Debian 10 ホストには、dla-3246 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - Hawk は、リクエストと応答の部分的な暗号検証を伴う認証された HTTP リクエストを行うためのメカニズムを提供する HTTP 認証スキームであり、HTTP メソッド、リクエスト URI、ホスト、およびオプションでリクエストペイロードをカバーします。Hawk は正規表現を使用して「Host」HTTP ヘッダー（「Hawk.utils.parseHost()」）を解析していました。これは正規表現の DoS 攻撃の対象になりました。これは、攻撃者の入力に追加された各文字が計算時間を指数関数的に増加させることを意味します。ホスト名を解析するためにビルトインの「URL」クラスを使用するために、「parseHost()」が「9.0.1」でパッチされました。「Hawk.authenticate()」は「options」引数を受け入れます。これに「host」と「port」が含まれている場合、「utils.parseHost()」の呼び出しの代わりにそれらが使用されます。(CVE-2022-29167)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DLA-3246-1: node-hawk - LTS セキュリティ更新

high Nessus プラグイン ID 169284

バージョン 1.0