Rocky Linux 9ホストには、CIQ crlsa-2024_1688 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * nodejs: PKCS#1 v1.5 パディングに対する Bleichenbacher 攻撃のタイミングバリアントに脆弱です (Marvin 氏) (CVE-2023-46809)

    * nodejs: 際限のないチャンク拡張のある未処理の HTTP リクエストの読み取りにより、DoS 攻撃が引き起こされます (CVE-2024-22019)

    * nodejs: Linux 機能を通じたコードの注入と権限昇格 (CVE-2024-21892)

    * nodejs: バッファ内部へのモンキーパッチングよるパストラバーサル (CVE-2024-21896)

    * nodejs: 不適切なパストラバーサルシーケンスのサニタイズによる複数のアクセス許可モデルのバイパス (CVE-2024-21891)

    * nodejs: --allow-fs-read および --allow-fs-write でのワイルドカードの不適切な処理 (CVE-2024-21890)

    * nodejs: setuid() は、io_uring のためにすべての権限を削除しない (CVE-2024-22017)

    このアドバイザリは、Ctrl IQ, Inc が Rocky Linux システム向けに提供しています。CIQ のセキュリティ慣行の詳細については、 https://ciq.com/security をご覧ください。

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 9 [CIQ] セキュリティ更新:nodejs-nodemon/nodejs-packaging/nodejs-packaging-bundler の複数の脆弱性(crlsa-2024_1688)

critical Nessus プラグイン ID 356678

変更ログが見つかりません