Rocky Linux 8 [CIQ] セキュリティ更新:nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 複数の脆弱性(crlsa-2024_1687)

critical Nessus プラグイン ID 356286

Language:

概要

Rocky Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

Rocky Linux 8ホストには、CIQ crlsa-2024_1687 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

* nodejs: PKCS#1 v1.5 パディングに対する Bleichenbacher 攻撃のタイミングバリアントに脆弱です (Marvin 氏) (CVE-2023-46809)

* nodejs: 際限のないチャンク拡張のある未処理の HTTP リクエストの読み取りにより、DoS 攻撃が引き起こされます (CVE-2024-22019)

* nodejs: Linux 機能を通じたコードの注入と権限昇格 (CVE-2024-21892)

* nodejs: バッファ内部へのモンキーパッチングよるパストラバーサル (CVE-2024-21896)

* nodejs: 不適切なパストラバーサルシーケンスのサニタイズによる複数のアクセス許可モデルのバイパス (CVE-2024-21891)

* nodejs: --allow-fs-read および --allow-fs-write でのワイルドカードの不適切な処理 (CVE-2024-21890)

* nodejs: setuid() は、io_uring のためにすべての権限を削除しない (CVE-2024-22017)

このアドバイザリは、Ctrl IQ, Inc が Rocky Linux システム向けに提供しています。CIQ のセキュリティ慣行の詳細については、 https://ciq.com/security をご覧ください。

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。