リモートの Debian 10 ホストには、dla-3344 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Node.js バージョン <14.21.1、<16.18.1、<18.12.1、< 19.0.1 に OS コマンドインジェクションの脆弱性が存在します。これは、IsIPAddress が DBS リクエストを行う前に IP アドレスが無効かどうかを適切にチェックしないため、容易にバイパスできる IsAllowedHost チェックが不十分なためです。これにより、再バインド攻撃が可能になります。https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32212 でのこの問題の修正は不完全であり、この新しい CVE は修正を完了するためのものです。(CVE-2022-43548)

  - Node.js <19.6.1、<18.14.1、<16.19.1、<14.21.3 には信頼できない検索パスの脆弱性が存在します。これにより、攻撃者が昇格した権限で実行しているときに ICU データを検索して読み込む可能性があります。
    (CVE-2023-23920)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Debian DLA-3344-1: nodejs - LTS セキュリティ更新

high Nessus プラグイン ID 171918

バージョン 1.1

バージョン 1.0

バージョン 1.1 Mar 3, 2023, 11:58 AM IAVM reference Plugin Feed: 202303031158
バージョン 1.0 Feb 26, 2023, 11:58 AM New Plugin Feed: 202302261158