Rocky Linux 8ホストには、CIQ crlsa-2021_0551 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    * nodejs-npm-user-validate:ユーザーメールを検証するときの不適切な入力検証により、ReDoSが発生(CVE-2020-7754)

    * nodejs-y18n:プロトタイプ汚染の脆弱性(CVE-2020-7774)

    * nodejs-ini:悪意のある INI ファイルによるプロトタイプ汚染(CVE-2020-7788)

    * nodejs:TLS実装における use-after-free(CVE-2020-8265)

    * c-ares:ares_parse_{a,aaaa}_reply() の不十分な naddrttls の検証の DoS(CVE-2020-8277)

    * nodejs-ajv:ajv.validate 関数での細工された JSON スキーマによるプロトタイプ汚染(CVE-2020-15366)

    * nodejs:HTTP リクエストのヘッダーフィールドの 2 つのコピーを介したHTTPリクエストスマグリング(CVE-2020-8287)

Tenableは、前述の記述ブロックをCIQセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Rocky Linux 8 [CIQ] セキュリティ更新:nodejs-nodemon/nodejs-packaging の複数の脆弱性(crlsa-2021_0551)

critical Nessus プラグイン ID 359423

バージョン 1.2