远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2020-2848 公告中提及的多个漏洞的影响。

  - 版本低于 1.41.0 的 nghttp2 中的 HTTP/2 SETTINGS 框架负载过大，可能会造成拒绝服务。
    概念验证攻击中，涉及恶意客户端会反复构建长度为 14,400 字节（2400 个单独的设置条目）的 SETTINGS 框架。此攻击会造成 CPU 使用率峰值达到 100％。nghttp2 v1.41.0 修复了此漏洞。存在针对此漏洞的变通方案。实现 nghttp2_on_frame_recv_callback 回调，如果所接收的框架为 SETTINGS 框架，且设置条目的数量很大（例如，大于 32），则断开连接。(CVE-2020-11080)

  - 版本低于 1.2.2 的 minimist 可能遭到诱骗，使用构造函数或 __proto__ 负载添加或修改 Object.prototype 属性。(CVE-2020-7598)

  - napi_get_value_string_*() 可在节点（版本早于 10.21.0 或 14.4.0 或为 12.18.0）中造成多种内存损坏。(CVE-2020-8174)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

检测

Oracle Linux 8：nodejs：10 (ELSA-2020-2848)

high Nessus 插件 ID 138481

版本 1.7