リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 0597 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - nodejs: 不正な形式の証明書文字列のあるTLSサーバーでのアサーションをリモートでトリガーします（CVE-2019-15604）

  - nodejs: 不正な形式のTransfer-Encodingヘッダーを使用するHTTPリクエストスマグリング（CVE-2019-15605）

  - nodejs: HTTPヘッダー値で任意に指定された末尾の空白が削除されません（CVE-2019-15606）

  - npm: インストール時のnode_modulesフォルダーの外側からbinフィールドまでのSymlink参照（CVE-2019-16775）

  - npm: package.json binフィールドの構築済みエントリを介した任意ファイルの書き込み（CVE-2019-16776）

  - npm: グローバルなnode_modulesのバイナリ上書き（CVE-2019-16777）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

RHEL 7: rh-nodejs10-nodejs (RHSA-2020: 0597)

critical Nessus プラグイン ID 170312

バージョン 1.3