CentOS 8:nodejs: 18 (CESA-2023: 1583)

high Nessus 插件 ID 174386

简介

远程 CentOS 主机缺少一个或多个安全更新。

描述

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2023: 1583 公告中提及的多个漏洞影响。

- Node.js 的 glob-parent 程序包 6.0.1 之前版本允许攻击者针对封装正则表达式发动 ReDoS(正则表达式拒绝服务)攻击。(CVE-2021-35065)

- 这会影响 4.1.1 之前版本的程序包 http-cache-semantics。如果服务器使用此库从请求中读取缓存策略,攻击者则可以通过向该服务器发送恶意请求标头来利用此问题。(CVE-2022-25881)

- Node.js <19.6.1、<18.14.1、<16.19.1 和 <14.21.3 版存在权限提升漏洞,攻击者可利用此漏洞绕过 Node.js 中的实验性权限 (https://nodejs.org/api/permissions.html) 功能,并使用 process.mainModule.require() 访问非授权模块。这仅影响已通过 --experimental-policy 启用实验性权限选项的用户。(CVE-2023-23918)

- Node.js <19.2.0、<18.14.1、<16.19.1、<14.21.3 中存在加密漏洞。在某些情况下,Node.js 未在可能对其进行设置的操作之后清除 OpenSSL 错误堆栈。这可能会在同一线程上发生后续加密操作期间导致误报错误。这反过来可被利用,造成拒绝服务。(CVE-2023-23919)

- 低於 19.6.1、18.14.1、16.19.1、14.21.3 的 Node.js 版本中存在不受信任的搜索路径漏洞,攻击者可藉此在以提升的权限运行时進行搜索并可能加载 ICU 数据。
(CVE-2023-23920)

- Undici 是 Node.js 的 HTTP/1.1 客户端。2.0.0 至 5.19.1 版的 undici 库未保护“host”HTTP 标头免受 CRLF 注入漏洞影响。Undici v5.19.1 中已修补此问题。变通方案是,审查“headers.host”字符串后再传递给 undici。
(CVE-2023-23936)

- Undici 是 Node.js 的 HTTP/1.1 客户端。在低于 5.19.1 的版本中,当不受信任的值传递到函数中时,“Headers.set()”和“Headers.append()”方法容易受到正则表达式拒绝服务 (ReDoS) 攻击。这是由于用于对“headerValueNormalize()”实用工具函数中的值进行规范化的正则表达式效率低下。v5.19.1 中已修补此漏洞。目前没有已知的变通方案。(CVE-2023-24807)

请注意,Nessus 尚未测试这些问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

更新受影响的 nodejs-nodemon、nodejs-packaging 和/或 nodejs-packaging-bundler 程序包。

另见

https://access.redhat.com/errata/RHSA-2023:1583

插件详情

严重性: High

ID: 174386

文件名: centos8_RHSA-2023-1583.nasl

版本: 1.2

类型: local

代理: unix

发布时间: 2023/4/15

最近更新时间: 2024/2/8

支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Agentless Assessment, Nessus

风险信息

VPR

风险因素: Medium

分数: 4.4

CVSS v2

风险因素: High

基本分数: 7.8

时间分数: 6.1

矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N

CVSS 分数来源: CVE-2023-23918

CVSS v3

风险因素: High

基本分数: 7.5

时间分数: 6.7

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

时间矢量: CVSS:3.0/E:P/RL:O/RC:C

漏洞信息

CPE: cpe:/o:centos:centos:8-stream, p-cpe:/a:centos:centos:nodejs-nodemon, p-cpe:/a:centos:centos:nodejs-packaging, p-cpe:/a:centos:centos:nodejs-packaging-bundler

必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/CentOS/release, Host/CentOS/rpm-list

可利用: true

易利用性: Exploits are available

补丁发布日期: 2023/4/4

漏洞发布日期: 2022/12/26

参考资料信息

CVE: CVE-2021-35065, CVE-2022-25881, CVE-2023-23918, CVE-2023-23919, CVE-2023-23920, CVE-2023-23936, CVE-2023-24807

RHSA: 2023:1583