Rocky Linux 9ホストには、CIQ crlsa-2022_6595 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * nodejs-ini:悪意のある INI ファイルによるプロトタイプ汚染(CVE-2020-7788)

    * nodejs-glob-parent:正規表現のサービス拒否(CVE-2020-28469)

    * nodejs-ansi-regex:ANSI エスケープコードに一致する正規表現のサービス拒否(ReDoS)(CVE-2021-3807)

    * normalize-url:データ URL に対する ReDoS(CVE-2021-33502)

    * nodejs:npm pack が、ワークスペースで実行されている場合、ルートレベルの .gitignore および .npmignore ファイル除外ディレクティブを無視します(CVE-2022-29244)

    * nodejs:DNS無効な IP アドレスを介した --inspect での再バインド(CVE-2022-32212)

    * nodejs:Transfer-Encoding(CVE-2022-32213)の解析の欠陥によるリクエストスマグリングをHTTP

    * nodejs:ヘッダーフィールドの不適切な区切りによるHTTPリクエストのスマグリング(CVE-2022-32214)

    * nodejs:複数行の Transfer-Encoding(CVE-2022-32215)の不適切な解析によるHTTPリクエストスマグリング

    * got:リクエストされた URL の検証の欠落により、UNIX ソケットへのリダイレクトが可能になります(CVE-2022-33987)

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 9 [CIQ] セキュリティ更新:nodejs-nodemon の複数の脆弱性(crlsa-2022_6595)

critical Nessus プラグイン ID 358732

変更ログが見つかりません