Rocky Linux 8 [CIQ] セキュリティ更新:nodejs / nodejs-debuginfo / nodejs-debugsource / nodejs-devel / etc 複数の脆弱性(crlsa-2022_0350)

critical Nessus プラグイン ID 358503

Language:

概要

Rocky Linuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

Rocky Linux 8ホストには、CIQ crlsa-2022_0350 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

* nodejs-json-schema:プロトタイプ汚染の脆弱性(CVE-2021-3918)

* nodejs-ini:悪意のある INI ファイルによるプロトタイプ汚染(CVE-2020-7788)

* nodejs-glob-parent:正規表現のサービス拒否(CVE-2020-28469)

* nodejs-ansi-regex:ANSI エスケープコードに一致する正規表現のサービス拒否(ReDoS)(CVE-2021-3807)

* normalize-url:データ URL に対する ReDoS(CVE-2021-33502)

* nodejs-tar:シンボリックリンクを使用するディレクトリキャッシュポイズニングによる不十分なシンボリックリンク保護により、任意のファイルの作成と上書きが可能(CVE-2021-37701)

* nodejs-tar:シンボリックリンクを使用するディレクトリキャッシュポイズニングによる不十分なシンボリックリンク保護により、任意のファイルの作成と上書きが可能(CVE-2021-37712)

* llhttp:HTTP ヘッダーにスペースがあることによるリクエストスマグリング(CVE-2021-22959)

* llhttp:チャンクされたリクエストの本文を解析する際のリクエストスマグリングHTTP(CVE-2021-22960)

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。