Debian DLA-3295-1：node-moment - LTS 安全更新

high Nessus 插件 ID 170880

语言：

简介

远程 Debian 主机上缺少一个或多个与安全性相关的更新。

描述

远程 Debian 10 主机上安装的程序包受到 dla-3295 公告中提及的多个漏洞影响。

- Moment.js 是用于解析、验证、操纵和格式化日期的 JavaScript 日期库。Moment.js 1.0.1 至 2.29.1 版的 npm（服务器）用户受到路径遍历漏洞的影响，尤其是在直接使用由用户提供的区域设置字符串切换 moment 区域设置时。此问题已在 2.29.2 版中修补，该补丁可应用于所有受影响的版本。变通方案是先审查用户提供的区域设置名称，然后再将其传递给 Moment.js。(CVE-2022-24785)

- moment 是用于解析、验证、操纵和格式化日期的 JavaScript 日期库。据发现，受影响的 moment 版本使用了低效解析算法。具体而言，在 moment 中使用 string-to-date 解析（更确切讲，是默认尝试的 rfc2822 解析）处理特定输入时，复杂性为二的次方 (N^2)。用户可能会注意到，当输入超过 10k 个字符时，处理速度会明显减慢。如果用户将用户提供的字符串传递到 moment 构造函数，而未经健全性长度检查，就容易受到 (Re)DoS 攻击。此问题已在 2.29.4 版中修补，该补丁可应用于调整极少的所有受影响的版本。建议所有用户都进行升级。无法升级的用户应考虑限制接受用户输入的日期长度。(CVE-2022-31129)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。