リモートの Oracle Linux 9 ホストに、ELSA-2023-2654アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Node.js の 6.0.1 以前の glob-parent パッケージでは、エンクロージャーの正規表現に対する ReDoS (正規表現のサービス拒否) 攻撃を受ける可能性があります。(CVE-2021-35065)

  - undici は Node.js 用の HTTP/1.1 クライアントです。バージョン 2.0.0以降、バージョン 5.19.1より前の undici ライブラリは「host」HTTP ヘッダーを CRLF インジェクションの脆弱性から保護しません。この問題は、Undici v5.19.1 でパッチされています。回避策として、undici に渡す前に「headers.host」文字列をサニタイズしてください。
    (CVE-2023-23936)

  - 権限昇格の脆弱性が Node.js <19.6.1、<18.14.1、<16.19.1 および <14.21.3 に存在します。これにより、Node.js の実験的なアクセス許可 (https://nodejs.org/api/permissions.html) 機能をバイパスし、process.mainModule.require() を使用して非認証モジュールにアクセスすることができます。これは、--experimental-policy で実験的なアクセス許可オプションを有効にしたユーザーにのみ影響します。(CVE-2023-23918)

  - これは 4.1.1より前のバージョンの http-cache-semantics のバージョンに影響します。サーバーに送信された悪意のあるリクエストヘッダーの値を介して、この問題が悪用される可能性があります。これはサーバーがこのライブラリを使用しているリクエストからキャッシュポリシーを読み取る場合です。(CVE-2022-25881)

  - c-ares パッケージに欠陥が見つかりました。ares_set_sortlist に、入力文字列の有効性に関するチェックがないため、任意の長さのスタックオーバーフローが発生する可能性があります。この問題により、サービス拒否または機密性と整合性への限定的な影響が発生する可能性があります。(CVE-2022-4904)

  - 暗号の脆弱性が Node.js <19.2.0, <18.14.1, <16.19.1, <14.21.3 に存在します。これにより、OpenSSL エラースタックを設定する可能性のある操作の後にそれがクリアされない場合がありました。これにより、後続の暗号操作中に誤検出エラーが発生し、同じスレッド上で発生する可能性があります。これを使用して、サービス拒否が引き起こされる可能性があります。(CVE-2023-23919)

  - Node.js <19.6.1、<18.14.1、<16.19.1、<14.21.3 には信頼できない検索パスの脆弱性が存在します。これにより、攻撃者が昇格した権限で実行しているときに ICU データを検索して読み込む可能性があります。
    (CVE-2023-23920)

  - undici は Node.js 用の HTTP/1.1 クライアントです。バージョン 5.19.1より前の「Headers.set()」および「Headers.append()」メソッドは、信頼できない値が関数に渡された場合の正規表現サービス拒否 (ReDoS) 攻撃に対して脆弱です。この原因は「headerValueNormalize()」ユーティリティ関数の中の値を正規化するために使用される非効率的な正規表現です。この脆弱性は v5.19.1 でパッチされました。既知の回避策はありません。(CVE-2023-24807)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Oracle Linux 9: nodejs: 18 (ELSA-2023-2654)

high Nessus プラグイン ID 175991

バージョン 1.1

バージョン 1.0

バージョン 1.1 Sep 18, 2023, 10:10 PM Detection Plugin Feed: 202309182210
バージョン 1.0 May 18, 2023, 5:11 AM New Plugin Feed: 202305180511