远程主机上安装的测试产品版本低于测试版本。因此，如公告 ALAS2-2021-1581 所述，该主机受到多个漏洞的影响。

  - 攻击者可利用 Node.js < 12.18.4 和 < 14.11 执行 HTTP 失步攻击，并向毫无防备的用户传递恶意负载。攻击者可构建负载，以劫持用户会话，使 Cookie 中毒，执行点击劫持以及大量其他攻击，具体取决于底层系统的架构。此攻击可能是处理 HTTP 标头名称中的载波返回符号过程中的缺陷所致。(CVE-2020-8201)

  - 14.11.0 之前的 Node.js 容易受到基于延迟请求提交的 HTTP 拒绝服务 (DoS) 攻击，这会导致服务器无法接受新连接。(CVE-2020-8251)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2020: 4272 公告中提及的多个漏洞的影响。

  - npm：通过日志泄露敏感信息 (CVE-2020-15095)

  - nodejs-dot-prop：原型污染 (CVE-2020-8116)

  - nodejs：存在 HTTP 请求走私，这是 CR 到连字符转换所致 (CVE-2020-8201)

  - libuv：realpath 中的缓冲区溢出 (CVE-2020-8252)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2020-4272 公告中提及的多个漏洞的影响。

  - dot-prop npm 数据包 4.2.1 之前版本以及 5.1.1 之前的 5.x 版本中存在原型污染漏洞，攻击者可利用此漏洞，向 JavaScript 语言结构（如对象）中添加任意属性。
    (CVE-2020-8116)

  - 攻击者可利用 Node.js < 12.18.4 和 < 14.11 执行 HTTP 失步攻击，并向毫无防备的用户传递恶意负载。攻击者可构建负载，以劫持用户会话，使 Cookie 中毒，执行点击劫持以及大量其他攻击，具体取决于底层系统的架构。此攻击可能是处理 HTTP 标头名称中的载波返回符号过程中的缺陷所致。(CVE-2020-8201)

  - Node.js 中使用的版本低于 10.22.1、12.18.4 和 14.9.0 的 libuv 中的 realpath 实现未正确确定缓冲区大小，如果解析的路径长于 256 个字节，则可导致缓冲区溢出。(CVE-2020-8252)

  - npm CLI 6.14.6 之前版本容易受到通过日志文件造成的信息泄露漏洞的影响。CLI 支持如下 URL：//[[: ]@][: ][: ][/]。密码值未编辑，而是被打印到 stdout 以及任何生成的日志文件中。(CVE-2020-15095)

请注意，Nessus 尚未测试此问题，而是只依赖于应用程序自我报告的版本号。

远程主机上安装的 Node.js 版本低于 10.22.1 或 12.18.4 或 14.11.0。因此，该应用程序受到 september-2020-security-releases 公告中提及的多个漏洞的影响。

  - 受影响的 Node.js 版本在解析 HTTP 标头之前，会将其中的回车符转换为连字符。
    因为这是对标头的非标准解释，所以可能导致 HTTP 请求走私问题。
    (CVE-2020-8201)

  - Node.js 容易受到基于延迟请求提交的 HTTP 拒绝服务 (DOS) 攻击，这可能导致服务器无法接受新连接。修复了名为 requestTimeout 的新 http.Server 选项，该选项的默认值为 0，这表示其默认已禁用。应在 Node.js 用作边缘服务器时进行该设置。 (CVE-2020-8251)

  - libuv 的 realpath 实现未正确确定缓冲区大小，如果解析的路径长于 256 个字节，可导致缓冲区溢出。(CVE-2020-8252)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 5086 公告中提及的漏洞的影响。

  - npm：通过日志泄露敏感信息 (CVE-2020-15095)

  - nodejs-dot-prop：原型污染 (CVE-2020-8116)

  - nodejs：存在 HTTP 请求走私，这是 CR 到连字符转换所致 (CVE-2020-8201)

  - libuv：realpath 中的缓冲区溢出 (CVE-2020-8252)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202101-07 中所述漏洞的影响 (NodeJS: 多个漏洞）

    在 NodeJS 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    请查看供参考的 CVE 标识符，了解详细信息。
  变通方案：

    目前无任何已知的变通方案。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 4272 公告中提及的多个漏洞的影响。

  - npm：通过日志泄露敏感信息 (CVE-2020-15095)

  - nodejs-dot-prop：原型污染 (CVE-2020-8116)

  - nodejs：存在 HTTP 请求走私，这是 CR 到连字符转换所致 (CVE-2020-8201)

  - libuv：realpath 中的缓冲区溢出 (CVE-2020-8252)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2020: 4903 公告中提及的多个漏洞的影响。

  - npm：通过日志泄露敏感信息 (CVE-2020-15095)

  - nodejs-dot-prop：原型污染 (CVE-2020-8116)

  - nodejs：存在 HTTP 请求走私，这是 CR 到连字符转换所致 (CVE-2020-8201)

  - libuv：realpath 中的缓冲区溢出 (CVE-2020-8252)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
144797	Amazon Linux 2：libuv (ALAS-2021-1581)	Nessus	Amazon Linux Local Security Checks	2021/1/7	2021/1/7	high
145813	CentOS 8：nodejs: 12 (CESA-2020: 4272)	Nessus	CentOS Local Security Checks	2021/2/1	2024/1/25	high
141637	Oracle Linux 8：nodejs: 12 (ELSA-2020-4272)	Nessus	Oracle Linux Local Security Checks	2020/10/21	2024/2/14	high
140795	Node.js 多个漏洞（2020 年 9 月安全版本）	Nessus	Misc.	2020/9/25	2023/9/11	high
170332	RHEL 7：rh-nodejs12-nodejs (RHSA-2020: 5086)	Nessus	Red Hat Local Security Checks	2023/1/23	2024/4/27	high
144864	GLSA-202101-07 : NodeJS：多个漏洞	Nessus	Gentoo Local Security Checks	2021/1/12	2024/1/30	high
141536	RHEL 8：nodejs: 12 (RHSA-2020: 4272)	Nessus	Red Hat Local Security Checks	2020/10/19	2024/4/28	high
142450	RHEL 8：nodejs: 12 (RHSA-2020: 4903)	Nessus	Red Hat Local Security Checks	2020/11/4	2024/4/28	high

检测

插件搜索

high

high

high

high

high

high

high

high