Rocky Linux 9ホストには、CIQ crlsa-2023_2655 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * c-ares:文字列長チェックがないことによる config_sortlist() でのバッファオーバーフロー(CVE-2022-4904)

    * http-cache-semantics:正規表現のサービス拒否(ReDoS)の脆弱性(CVE-2022-25881)

    * Node.js:権限ポリシーが、process.mainModule を通じてバイパスされる可能性があります(CVE-2023-23918)

    * Node.js:Fetch API がホストヘッダーの CRLF インジェクションから保護しませんでした(CVE-2023-23936)

    * Node.js:ICU_DATA 環境変数による ICU データの安全でないロード(CVE-2023-23920)

    * Node.js:ヘッダーフェッチ API での正規表現のサービス拒否(CVE-2023-24807)

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 9 [CIQ] セキュリティ更新:nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-docs / etc 複数の脆弱性(crlsa-2023_2655)

high Nessus プラグイン ID 354127

依存が見つかりません