リモートの Oracle Linux 9 ホストに、ELSA-2023-0321アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Node.js バージョン <14.21.1、<16.18.1、<18.12.1、< 19.0.1 に OS コマンドインジェクションの脆弱性が存在します。これは、IsIPAddress が DBS リクエストを行う前に IP アドレスが無効かどうかを適切にチェックしないため、容易にバイパスできる IsAllowedHost チェックが不十分なためです。これにより、再バインド攻撃が可能になります。https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32212 でのこの問題の修正は不完全であり、この新しい CVE は修正を完了するためのものです。(CVE-2022-43548)

  - Node v18.7.0 の http モジュールの llhttp パーサーが、CLRF で終了しないヘッダーフィールドを正しく処理しません。これにより、HTTP リクエストスマグリングが発生する可能性があります。(CVE-2022-35256)

  - Minimist <= 1.2.5 は、ファイル index.js、関数 setKey() (69-95 行) を介した Prototype Pollution に対して脆弱です。
    (CVE-2021-44906)

  - minimatch パッケージに脆弱性が見つかりました。この欠陥により、特定の引数で braceExpand 関数を呼び出す際に、正規表現によるサービス拒否 (ReDoS) が発生し、サービス拒否が発生する可能性があります。(CVE-2022-3517)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Oracle Linux 9: nodejs / および / nodejs-nodemon (ELSA-2023-0321)

critical Nessus プラグイン ID 170483

バージョン 1.4