リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 2625 アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - nodejs-brace-expansion: 正規表現のサービス拒否 (CVE-2017-18077)

  - nodejs-chownr: chownr.js の「chownr」関数における TOCTOU の脆弱性 (CVE-2017-18869)

  - nodejs-sshpk: lib/formats/ssh.js で細工された無効な公開鍵を解析する際の ReDoS (CVE-2018-3737)

  - nodejs-deep-extend: プロトタイプ汚染は、攻撃者がオブジェクトのプロパティを変更することを可能にします（CVE-2018-3750）

  - npm: インストール時のnode_modulesフォルダーの外側からbinフィールドまでのSymlink参照（CVE-2019-16775）

  - npm: package.json binフィールドの構築済みエントリを介した任意ファイルの書き込み（CVE-2019-16776）

  - npm: グローバルなnode_modulesのバイナリ上書き（CVE-2019-16777）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

RHEL 7: rh-nodejs8-nodejs (RHSA-2020: 2625)

critical Nessus プラグイン ID 170350

バージョン 1.1