远程 CentOS Linux 8 主机上安装的程序包受到 CESA-2021: 5171 公告中提及的一个漏洞影响。

  - nodejs-glob-parent：正则表达式拒绝服务 (CVE-2020-28469)

  - nodejs-ini：通过恶意的 INI 文件造成原型污染 (CVE-2020-7788)

  - llhttp：由于标头中有空格而导致 HTTP 请求走私 (CVE-2021-22959)

  - llhttp：解析分块请求正文时发生 HTTP 请求走私问题 (CVE-2021-22960)

  - normalize-url：数据 URL 的 ReDoS (CVE-2021-33502)

  - nodejs-ansi-regex：匹配 ANSI 转义代码的正则表达式拒绝服务 (ReDoS) (CVE-2021-3807)

  - nodejs-json-schema：原型污染漏洞 (CVE-2021-3918)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2021: 5171 公告中提及的一个漏洞影响。

  - nodejs-glob-parent：正则表达式拒绝服务 (CVE-2020-28469)

  - nodejs-ini：通过恶意的 INI 文件造成原型污染 (CVE-2020-7788)

  - llhttp：由于标头中有空格而导致 HTTP 请求走私 (CVE-2021-22959)

  - llhttp：解析分块请求正文时发生 HTTP 请求走私问题 (CVE-2021-22960)

  - nodejs-normalize-url：数据 URL 的 ReDoS (CVE-2021-33502)

  - nodejs-ansi-regex：匹配 ANSI 转义代码的正则表达式拒绝服务 (ReDoS) (CVE-2021-3807)

  - nodejs-json-schema：原型污染漏洞 (CVE-2021-3918)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 CentOS Linux 8 主机上安装的多个程序包受到 CESA-2022: 0350 公告中提及的一个漏洞影响。

  - nodejs-glob-parent：正则表达式拒绝服务 (CVE-2020-28469)

  - nodejs-ini：通过恶意的 INI 文件造成原型污染 (CVE-2020-7788)

  - llhttp：由于标头中有空格而导致 HTTP 请求走私 (CVE-2021-22959)

  - llhttp：解析分块请求正文时发生 HTTP 请求走私问题 (CVE-2021-22960)

  - normalize-url：数据 URL 的 ReDoS (CVE-2021-33502)

  - nodejs-tar：使用符号链接时因目录缓存中毒导致符号链接保护不充分，进而造成创建和覆盖任意文件（CVE-2021-37701、CVE-2021-37712）

  - nodejs-ansi-regex：匹配 ANSI 转义代码的正则表达式拒绝服务 (ReDoS) (CVE-2021-3807)

  - nodejs-json-schema：原型污染漏洞 (CVE-2021-3918)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2022: 4914 公告中提及的多个漏洞影响。

  - llhttp：由于标头中有空格而导致 HTTP 请求走私 (CVE-2021-22959)

  - llhttp：解析分块请求正文时发生 HTTP 请求走私问题 (CVE-2021-22960)

  - nodejs-tar：使用符号链接时因目录缓存中毒导致符号链接保护不充分，进而造成创建和覆盖任意文件（CVE-2021-37701、CVE-2021-37712）

  - nodejs-json-schema：原型污染漏洞 (CVE-2021-3918)

  - nodejs：未正确处理 URI 主题备用名称 (CVE-2021-44531)

  - nodejs：通过字符串注入绕过证书验证 (CVE-2021-44532)

  - nodejs：未正确处理证书主题和颁发者字段 (CVE-2021-44533)

  - minimist：原型污染 (CVE-2021-44906)

  - nodejs：通过 console.table 属性执行原型污染 (CVE-2022-21824)

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2022: 0041 公告中提及的多个漏洞影响。

  - llhttp：由于标头中有空格而导致 HTTP 请求走私 (CVE-2021-22959)

  - llhttp：解析分块请求正文时发生 HTTP 请求走私问题 (CVE-2021-22960)

  - nodejs-tar：使用符号链接时因目录缓存中毒导致符号链接保护不充分，进而造成创建和覆盖任意文件（CVE-2021-37701、CVE-2021-37712）

  - nodejs-ansi-regex：匹配 ANSI 转义代码的正则表达式拒绝服务 (ReDoS) (CVE-2021-3807)

  - nodejs-json-schema：原型污染漏洞 (CVE-2021-3918)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2022: 0350 公告中提及的一个漏洞影响。

  - nodejs-glob-parent：正则表达式拒绝服务 (CVE-2020-28469)

  - nodejs-ini：通过恶意的 INI 文件造成原型污染 (CVE-2020-7788)

  - llhttp：由于标头中有空格而导致 HTTP 请求走私 (CVE-2021-22959)

  - llhttp：解析分块请求正文时发生 HTTP 请求走私问题 (CVE-2021-22960)

  - nodejs-normalize-url：数据 URL 的 ReDoS (CVE-2021-33502)

  - nodejs-tar：使用符号链接时因目录缓存中毒导致符号链接保护不充分，进而造成创建和覆盖任意文件（CVE-2021-37701、CVE-2021-37712）

  - nodejs-ansi-regex：匹配 ANSI 转义代码的正则表达式拒绝服务 (ReDoS) (CVE-2021-3807)

  - nodejs-json-schema：原型污染漏洞 (CVE-2021-3918)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的程序包受到 dsa-5170 公告中提及的多个漏洞影响。

  - 解析器接受冒号前的标头名称后带有空格 (SP) 的请求。这可导致低于 2.1.4 版和 6.0.6 版的 llhttp 发生 HTTP 请求走私问题。(CVE-2021-22959)

  - 在低于 2.1.4 版和 6.0.6 版的 llhttp 中，parse 函数会在解析分块请求正文时忽略区块扩展。在某些情况下，这会导致 HTTP 请求走私 (HRS)。(CVE-2021-22960)

  - 接受任意使用者备用名称 (SAN) 类型（除非专门定义 PKI 以使用特定 SAN 类型）可导致绕过限制名称的中间体。Node.js  < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 的版本接受通常不会定义使用 PKI 的 URI SAN 类型。
    此外，当协议允许 URI SAN 时，Node.js 未正确匹配 URI。具有此补丁的 Node.js 版本会在针对主机名检查证书时禁用 URI SAN 类型。此行为可通过 --security-revert 命令行选项恢复。 (CVE-2021-44531)

  - Node.js  < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 的版本会将 SAN（使用者备用名称）转换为字符串格式。验证连接时，它会使用此字符串对照主机名检查对等证书。字符串格式会在证书链中使用名称限制时受到注入漏洞影响，从而允许攻击者绕过这些名称限制。Node.js 版本已修复此包含有问题的字符的转义 SAN，用以防止注入攻击。此行为可通过 --security-revert 命令行选项恢复。 (CVE-2021-44532)

  - Node.js  < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 未正确处理多值相对可分辨名。例如，攻击者可构建包含解释为多值相对可分辨名的单值相对可分辨名的证书主题，以便注入允许绕过证书主题验证的通用名称。受影响的 Node.js 版本不接受多值相对可分辨名，因此本身不易受到此类攻击。但是，使用节点的有歧义证书主题演示的第三方代码可能容易受到攻击。 (CVE-2021-44533)

  - 由于 console.table() 函数的格式化逻辑，允许将用户控制的输入传递给属性参数，同时传递一个具有至少一个属性的普通对象作为第一个参数（可能是 __proto__）是不安全的。原型污染的控制权非常有限，因为它只允许将空字符串分配给对象原型的数字键。Node.js >= 12.22.9、>= 14.18.3、>= 16.13.2 和 >= 17.3.1 的版本对已获分配这些属性的对象使用空原型。(CVE-2022-21824)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2022: 0246 公告中提及的多个漏洞的影响。

  - nodejs-glob-parent：正则表达式拒绝服务 (CVE-2020-28469)

  - nodejs-ini：通过恶意的 INI 文件造成原型污染 (CVE-2020-7788)

  - llhttp：由于标头中有空格而导致 HTTP 请求走私 (CVE-2021-22959)

  - llhttp：解析分块请求正文时发生 HTTP 请求走私问题 (CVE-2021-22960)

  - nodejs-normalize-url：数据 URL 的 ReDoS (CVE-2021-33502)

  - nodejs-tar：使用符号链接时因目录缓存中毒导致符号链接保护不充分，进而造成创建和覆盖任意文件（CVE-2021-37701、CVE-2021-37712）

  - nodejs-ansi-regex：匹配 ANSI 转义代码的正则表达式拒绝服务 (ReDoS) (CVE-2021-3807)

  - nodejs-json-schema：原型污染漏洞 (CVE-2021-3918)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，它受到公告 ALAS2023-2023-084 中提及的多个漏洞影响。

  - 解析器接受冒号前的标头名称后带有空格 (SP) 的请求。这可导致低于 2.1.4 版和 6.0.6 版的 llhttp 发生 HTTP 请求走私问题。(CVE-2021-22959)

  - 在低于 2.1.4 版和 6.0.6 版的 llhttp 中，parse 函数会在解析分块请求正文时忽略区块扩展。在某些情况下，这会导致 HTTP 请求走私 (HRS)。(CVE-2021-22960)

  - ** 有争议** 即使 package-lock.json 中的依存关系信息与 package.json 不同，npm 7.x 和 8.x 至 8.1.3 版本中的 npm ci 命令仍会继续执行安装。此行为与文档所述内容不一致，并使攻击者更容易安装本应被 package-lock.json 中版本完全符合的要求阻止的恶意软件。注意：npm 团队认为这不是漏洞。这需要有人通过社交工程入侵具有与 package-lock.json 不同的依存关系的 package.json。该用户必须要具有文件系统或写入权限才能更改依存关系。npm 团队表示，防止恶意操作者进行社交工程入侵或获取文件系统访问权限超出了 npm CLI 的范围。(CVE-2021-43616)

  - 接受任意使用者备用名称 (SAN) 类型（除非专门定义 PKI 以使用特定 SAN 类型）可导致绕过限制名称的中间体。Node.js < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 的版本接受通常不会定义使用 PKI 的 URI SAN 类型。
    此外，当协议允许 URI SAN 时，Node.js 未正确匹配 URI。具有此补丁的 Node.js 版本会在针对主机名检查证书时禁用 URI SAN 类型。此行为可通过 --security-revert 命令行选项恢复。 (CVE-2021-44531)

  - Node.js < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 的版本会将 SAN（使用者备用名称）转换为字符串格式。验证连接时，它会使用此字符串对照主机名检查对等证书。字符串格式会在证书链中使用名称限制时受到注入漏洞影响，从而允许攻击者绕过这些名称限制。Node.js 版本已修复此包含有问题的字符的转义 SAN，用以防止注入攻击。此行为可通过 --security-revert 命令行选项恢复。 (CVE-2021-44532)

  - Node.js < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 未正确处理多值相对可分辨名。例如，攻击者可构建包含解释为多值相对可分辨名的单值相对可分辨名的证书主题，以便注入允许绕过证书主题验证的通用名称。受影响的 Node.js 版本不接受多值相对可分辨名，因此本身不易受到此类攻击。但是，使用节点的有歧义证书主题演示的第三方代码可能容易受到攻击。 (CVE-2021-44533)

  - 由于 console.table() 函数的格式化逻辑，允许将用户控制的输入传递给属性参数，同时传递一个具有至少一个属性的普通对象作为第一个参数（可能是 __proto__）是不安全的。原型污染的控制权非常有限，因为它只允许将空字符串分配给对象原型的数字键。Node.js >= 12.22.9、>= 14.18.3、>= 16.13.2 和 >= 17.3.1 的版本对已获分配这些属性的对象使用空原型。(CVE-2022-21824)

  - 低于 14.20.0、16.20.0、18.5.0 的 Node.js 版本中存在操作系统命令注入漏洞，这是因为 IsAllowedHost 检查不充分所致，IsIPAddress 在发出 DBS 请求前未正确检查 IP 地址是否无效，从而导致可轻松绕过该漏洞并允许重新绑定攻击。(CVE-2022-32212)

  - Node.js 的 http 模块中的 llhttp 解析器（低于 v14.20.1、v16.17.1 和 v18.9.1）未正确解析和验证传输编码标头，可导致 HTTP 请求走私 (HRS)。(CVE-2022-32213)

  - Node.js 的 http 模块中的 llhttp 解析器（低于 v14.20.1、v16.17.1 和 v18.9.1）未严格使用 CRLF 序列来分隔 HTTP 请求。这可导致 HTTP 请求走私 (HRS) 攻击。
    (CVE-2022-32214)

  - Node.js 中 http 模块的 llhttp 解析器（低于 v14.20.1、v16.17.1 和 v18.9.1）未正确处理多行传输编码标头。这可导致 HTTP 请求走私 (HRS) 攻击。
    (CVE-2022-32215)

  - 在 18.x 之前及 18.40.0 版本的 linux 中，Node.js 存在加密漏洞，导致 openssl.cnf 的默认路径在某些情况下可以被非管理员用户而不是管理员用户访问，这种情况存在于升级至 OpenSSL 3 之前的版本中。(CVE-2022-32222)

  - Node.js 易受劫持执行流的影响：- 在某些情形下，Windows 平台会受 DLL 劫持的影响。如果受害者在 Windows 计算机上具有以下依存关系，则攻击者可利用此漏洞：* 已安装 OpenSSL 且存在 C: \Program Files\Common Files\SSL\openssl.cnf。只要满足上述条件，“node.exe”将在当前用户目录中搜索“providers.dll”。之后，“node.exe”将尝试在 Windows 中按 DLL 搜索顺序搜索“providers.dll”。攻击者可能会将恶意文件“providers.dll”放到多种路径下并利用此漏洞。(CVE-2022-32223)

  - Node.js 18 中存在 WebCrypto keygen 漏洞，这是由于 SecureKeyGenTraits 中 EntropySource() 的变更所致：: src/crypto/crypto_keygen.cc 中的 DoKeyGen()。这有两个问题：1) 它不检查返回值，它假设 EntropySource() 总是成功，但它可能（有时会）失败。 2) EntropySource() 返回的随机数据在加密方面可能不强，因此不适合作为密钥材料。(CVE-2022-35255)

  - Node v18.7.0 中 http 模块的 llhttp 解析器未正确处理非以 CLRF 结尾的标头字段，这可能会导致 HTTP 请求走私攻击。(CVE-2022-35256)

  - 缓冲区溢出可在 X.509 证书验证中触发，在名称限制检查中更是如此。请注意，这会在证书链签名验证之后发生，并且需要 CA 签署恶意证书，或者要求应用程序在未能构建到受信任颁发者的路径的情况下继续证书验证。攻击者可以构建恶意电子邮件地址，使堆栈上四个由攻击者控制的字节溢出。此缓冲区溢出可能会导致崩溃（造成拒绝服务）或远程代码执行。许多平台实现了堆栈溢出保护，可降低远程代码执行的风险。可根据任何给定平台/编译器的堆栈布局进一步缓解此风险。 CVE-2022-3602 的预先公告将此问题描述为“危急”。基于上述一些缓解因素的进一步分析可将此问题降级为“高危”。仍建议用户尽快升级到新版本。在 TLS 客户端中，这可通过连接到恶意服务器来触发。
    在 TLS 服务器中，如果服务器请求客户端认证并连接了恶意客户端，就会触发此问题。已在 OpenSSL 3.0.7 中修复（影响 3.0.0、3.0.1、3.0.2、3.0.3、3.0.4、3.0.5、3.0.6、CVE-2022-3602）。

  - 缓冲区溢出可在 X.509 证书验证中触发，在名称限制检查中更是如此。请注意，这会在证书链签名验证之后发生，并且需要 CA 签署恶意证书，或者要求应用程序在未能构建到受信任颁发者的路径的情况下继续证书验证。攻击者可特制证书中的恶意电子邮件地址，以在堆栈上溢出包含“.”字符（十进制 46）的任意数量的字节。此缓冲区溢出可能会导致崩溃（造成拒绝服务）。在 TLS 客户端中，这可通过连接到恶意服务器来触发。在 TLS 服务器中，如果服务器请求客户端认证并连接了恶意客户端，就会触发此问题。(CVE-2022-3786)

  - 低于 14.21.1、16.18.1、18.12.1、19.0.1 的 Node.js 版本中存在操作系统命令注入漏洞，这是因为 IsAllowedHost 检查不充分所致，IsIPAddress 在发出 DBS 请求前未正确检查 IP 地址是否无效，从而导致可轻松绕过该漏洞并允许重新绑定攻击。https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32212 中对此问题的修复不完整，新的 CVE 将完成修复。(CVE-2022-43548)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Node.js 版本低于 12.22.7、14.18.1 或 16.11.1。因此受到多个 HTTP 请求走私漏洞的影响。未经身份验证的远程攻击可利用这些漏洞来绕过安全控制，在未经授权的情况下访问敏感数据，以及直接危害其他应用程序用户。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

远程主机上安装的 nodejs 版本低于 18.4.0-1。因此，它受到 ALAS2022-2022-214 公告中提及的多个漏洞影响。

  - 解析器接受冒号前的标头名称后带有空格 (SP) 的请求。这可导致低于 2.1.4 版和 6.0.6 版的 llhttp 发生 HTTP 请求走私问题。(CVE-2021-22959)

  - 在低于 2.1.4 版和 6.0.6 版的 llhttp 中，parse 函数会在解析分块请求正文时忽略区块扩展。在某些情况下，这会导致 HTTP 请求走私 (HRS)。(CVE-2021-22960)

  - ** 有争议** 即使 package-lock.json 中的依存关系信息与 package.json 不同，npm 7.x 和 8.x 至 8.1.3 版本中的 npm ci 命令仍会继续执行安装。此行为与文档所述内容不一致，并使攻击者更容易安装本应被 package-lock.json 中版本完全符合的要求阻止的恶意软件。注意：npm 团队认为这不是漏洞。这需要有人通过社交工程入侵具有与 package-lock.json 不同的依存关系的 package.json。该用户必须要具有文件系统或写入权限才能更改依存关系。npm 团队表示，防止恶意操作者进行社交工程入侵或获取文件系统访问权限超出了 npm CLI 的范围。(CVE-2021-43616)

  - 接受任意使用者备用名称 (SAN) 类型（除非专门定义 PKI 以使用特定 SAN 类型）可导致绕过限制名称的中间体。Node.js  < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 的版本接受通常不会定义使用 PKI 的 URI SAN 类型。
    此外，当协议允许 URI SAN 时，Node.js 未正确匹配 URI。具有此补丁的 Node.js 版本会在针对主机名检查证书时禁用 URI SAN 类型。此行为可通过 --security-revert 命令行选项恢复。 (CVE-2021-44531)

  - Node.js  < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 的版本会将 SAN（使用者备用名称）转换为字符串格式。验证连接时，它会使用此字符串对照主机名检查对等证书。字符串格式会在证书链中使用名称限制时受到注入漏洞影响，从而允许攻击者绕过这些名称限制。Node.js 版本已修复此包含有问题的字符的转义 SAN，用以防止注入攻击。此行为可通过 --security-revert 命令行选项恢复。 (CVE-2021-44532)

  - Node.js  < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 未正确处理多值相对可分辨名。例如，攻击者可构建包含解释为多值相对可分辨名的单值相对可分辨名的证书主题，以便注入允许绕过证书主题验证的通用名称。受影响的 Node.js 版本不接受多值相对可分辨名，因此本身不易受到此类攻击。但是，使用节点的有歧义证书主题演示的第三方代码可能容易受到攻击。 (CVE-2021-44533)

  - 由于 console.table() 函数的格式化逻辑，允许将用户控制的输入传递给属性参数，同时传递一个具有至少一个属性的普通对象作为第一个参数（可能是 __proto__）是不安全的。原型污染的控制权非常有限，因为它只允许将空字符串分配给对象原型的数字键。Node.js >= 12.22.9、>= 14.18.3、>= 16.13.2 和 >= 17.3.1 的版本对已获分配这些属性的对象使用空原型。(CVE-2022-21824)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2021-5171 公告中提及的多个漏洞的影响。

  - 这会影响 1.3.6 之前的 ini 程序包。如果攻击者向应用程序提交恶意 INI 文件，该应用程序使用 ini.parse 进行解析，则恶意文件将污染该应用程序上的原型。此问题可根据环境被进一步利用。 (CVE-2020-7788)

  - 这会影响 5.1.2 之前版本的 glob-parent 程序包。enclosure regex 之前用于检查以包含路径分隔符的 enclosure 结尾的字符串。(CVE-2020-28469)

  - ansi-regex 容易受到低效正则表达式复杂性的影响 (CVE-2021-3807)

  - json-schema 容易受到受控不当修改对象原型属性（“Prototype Pollution”）的影响 (CVE-2021-3918)

  - 在适用于 Node.js 的低于 4.5.1 版的 normalize-url、低于 5.3.1 版的 normalize-url 5.x 以及低于 6.0.1 版的 normalize-url 6.x 程序包中存在 ReDoS（正则表达式拒绝服务）问题，原因是它对 data: URL 具有指数级性能。
    (CVE-2021-33502)

  - 解析器接受冒号前的标头名称后带有空格 (SP) 的请求。这可导致低于 2.1.4 版和 6.0.6 版的 llhttp 发生 HTTP 请求走私问题。(CVE-2021-22959)

  - 在低于 2.1.4 版和 6.0.6 版的 llhttp 中，parse 函数会在解析分块请求正文时忽略区块扩展。在某些情况下，这会导致 HTTP 请求走私 (HRS)。(CVE-2021-22960)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程 CentOS Linux 9 主机上安装的多个程序包受到 nodejs-16.16.0-1.el9 版本变更日志中提及的多个漏洞影响。

  - npm CLI 6.14.6 之前版本容易受到通过日志文件造成的信息泄露漏洞的影响。CLI 支持如下 URL：<protocol>://[<user>[:<password>]@]<hostname>[:<port>][:][/]<path>。密码值未编辑，而是被打印到 stdout 以及任何生成的日志文件中。(CVE-2020-15095)

  - 低于 16.6.0、14.17.4 和 12.22.4 版本的 Node.js 容易受到远程代码执行、XSS、应用程序崩溃漏洞的影响，这是因为缺少对 Node.js dns 库中域名服务器返回的主机名的输入验证，这可导致使用该库的应用程序中存在错误主机名输出（导致域劫持）和注入漏洞。(CVE-2021-22931)

  - 如果未正确使用 Node.js https API，并且为 rejectUnauthorized 参数传入了 undefined，则应用程序不会返回任何错误，且会接受与具有过期证书的服务器的连接。(CVE-2021-22939)

  - 低于 16.6.1、14.17.5 和 12.22.5 版的 Node.js 容易受到释放后使用攻击，攻击者可能利用内存损坏来更改进程行为。(CVE-2021-22940)

  - 解析器接受冒号前的标头名称后带有空格 (SP) 的请求。这可导致低于 2.1.4 版和 6.0.6 版的 llhttp 发生 HTTP 请求走私问题。(CVE-2021-22959)

  - 在低于 2.1.4 版和 6.0.6 版的 llhttp 中，parse 函数会在解析分块请求正文时忽略区块扩展。在某些情况下，这会导致 HTTP 请求走私 (HRS)。(CVE-2021-22960)

  - ssri 5.2.2-8.0.0 版会使用易受拒绝服务攻击的正则表达式处理 SRI，此问题已在 8.0.1 版中修正。恶意 SRI 可能需要很长时间来处理，从而会导致拒绝服务。此问题仅影响使用 strict 选项的用户。(CVE-2021-27290)

  - ansi-regex 容易受到低效正则表达式复杂性的影响 (CVE-2021-3807)

  - json-schema 容易受到受控不当修改对象原型属性（“Prototype Pollution”）的影响 (CVE-2021-3918)

  - 即使 package-lock.json 中的依存关系信息与 package.json 不同，npm 7.x 和 8.x 至 8.1.3 版本中的 npm ci 命令也会继续处理安装。此行为与文档所述内容不一致，并使攻击者更容易安装本应被 package-lock.json 中版本完全符合的要求阻止的恶意软件。注意：npm 团队认为这不是漏洞。这需要有人通过社交工程入侵具有与 package-lock.json 不同的依存关系的 package.json。该用户必须要具有文件系统或写入权限才能更改依存关系。
    npm 团队表示，防止恶意操作者进行社交工程入侵或获取文件系统访问权限超出了 npm CLI 的范围。(CVE-2021-43616)

  - 接受任意使用者备用名称 (SAN) 类型（除非专门定义 PKI 以使用特定 SAN 类型）可导致绕过限制名称的中间体。Node.js < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 的版本接受通常不会定义使用 PKI 的 URI SAN 类型。
    此外，当协议允许 URI SAN 时，Node.js 未正确匹配 URI。具有此补丁的 Node.js 版本会在针对主机名检查证书时禁用 URI SAN 类型。此行为可通过 --security-revert 命令行选项恢复。 (CVE-2021-44531)

  - Node.js < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 的版本会将 SAN（使用者备用名称）转换为字符串格式。验证连接时，它会使用此字符串对照主机名检查对等证书。字符串格式会在证书链中使用名称限制时受到注入漏洞影响，从而允许攻击者绕过这些名称限制。Node.js 版本已修复此包含有问题的字符的转义 SAN，用以防止注入攻击。此行为可通过 --security-revert 命令行选项恢复。 (CVE-2021-44532)

  - Node.js < 12.22.9、< 14.18.3、< 16.13.2 及 < 17.3.1 未正确处理多值相对可分辨名。例如，攻击者可构建包含解释为多值相对可分辨名的单值相对可分辨名的证书主题，以便注入允许绕过证书主题验证的通用名称。受影响的 Node.js 版本不接受多值相对可分辨名，因此本身不易受到此类攻击。但是，使用节点的有歧义证书主题演示的第三方代码可能容易受到攻击。 (CVE-2021-44533)

  - 由于 console.table() 函数的格式化逻辑，允许将用户控制的输入传递给属性参数，同时传递一个具有至少一个属性的普通对象作为第一个参数（可能是 __proto__）是不安全的。原型污染的控制权非常有限，因为它只允许将空字符串分配给对象原型的数字键。Node.js >= 12.22.9、>= 14.18.3、>= 16.13.2 和 >= 17.3.1 的版本对已获分配这些属性的对象使用空原型。(CVE-2022-21824)

  - 低于 14.20.0、16.20.0、18.5.0 的 Node.js 版本中存在操作系统命令注入漏洞，这是因为 IsAllowedHost 检查不充分所致，IsIPAddress 在发出 DBS 请求前未正确检查 IP 地址是否无效，从而导致可轻松绕过该漏洞并允许重新绑定攻击。(CVE-2022-32212)

  - Node.js 的 http 模块中的 llhttp 解析器（低于 v14.20.1、v16.17.1 和 v18.9.1）未正确解析和验证传输编码标头，可导致 HTTP 请求走私 (HRS)。(CVE-2022-32213)

  - Node.js 的 http 模块中的 llhttp 解析器（低于 v14.20.1、v16.17.1 和 v18.9.1）未严格使用 CRLF 序列来分隔 HTTP 请求。这可导致 HTTP 请求走私 (HRS) 攻击。
    (CVE-2022-32214)

  - Node.js 中 http 模块的 llhttp 解析器（低于 v14.20.1、v16.17.1 和 v18.9.1）未正确处理多行传输编码标头。这可导致 HTTP 请求走私 (HRS) 攻击。
    (CVE-2022-32215)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 8 主机上安装的程序包受到 ELSA-2022-0350 公告中提及的多个漏洞的影响。

  - 这会影响 1.3.6 之前的 ini 程序包。如果攻击者向应用程序提交恶意 INI 文件，该应用程序使用 ini.parse 进行解析，则恶意文件将污染该应用程序上的原型。此问题可根据环境被进一步利用。 (CVE-2020-7788)

  - 4.4.16、5.0.8、6.1.7 之前版本的 npm 程序包 tar（也称为 node-tar）中存在任意文件创建/覆盖级任意代码执行漏洞。“node-tar”的目的在于保证应用程序不会提取任何位置会被符号链接修改的文件。这部分是通过确保提取的目录不是符号链接来实现的。此外，为防止不必要的“stat”调用，以确定给定的路径是否为目录，创建目录时会缓存路径。
    当提取同时包含目录和与目录同名的符号链接的 tar 文件时，此逻辑尚不充分，其中存档条目中的符号链接和目录名称在 posix 系统上使用反斜线作为路径分隔符。缓存检查逻辑同时使用“\”和“/”字符作为路径分隔符，但“\”在 posix 系统上属于有效的文件名字符。通过先创建一个目录，然后用符号链接替换该目录，用户可以绕过针对目录的“node-tar”符号链接检查，这基本上允许不受信任的 tar 文件以符号链接指向任意位置，然后将任意文件提取到该位置，从而允许应用程序创建和覆盖任意文件。此外，不区分大小写的文件系统也会出现类似的混淆问题。如果 tar 存档在 `FOO` 中加入一个目录，后跟一个名为 `foo` 的符号链接，则在不区分大小写的文件系统上创建符号链接时，将从文件系统中删除该目录，但不会从内部目录缓存中删除目录，因为该目录不会被视为缓存命中。`FOO` 目录中的后续文件条目将被放置在符号链接的目标中，并认为该目录已经成功创建。这些问题已在 4.4.16、5.0.8、6.1.7 版本中解决。node-tar 的 v3 分支已弃用，且未收到针对这些问题的补丁。如果您仍在使用 v3 版本，我们建议您更新到较新的 node-tar 版本。
    如果无法执行此操作，可参阅引用的 GHSA-9r2w-394v-53qc 查找解决方法。(CVE-2021-37701)

  - 4.4.18、5.0.10、6.1.9 之前版本的 npm 程序包 tar（也称为 node-tar）中存在任意文件创建/覆盖级任意代码执行漏洞。“node-tar”的目的在于保证应用程序不会提取任何位置会被符号链接修改的文件。这部分是通过确保提取的目录不是符号链接来实现的。此外，为防止不必要的“stat”调用，以确定给定的路径是否为目录，创建目录时会缓存路径。
    当提取同时包含目录和符号链接的 tar 文件时，此逻辑并不充分，其名称包含标准化为相同值的 unicode 值。此外，在 Windows 系统上，长路径部分将解析为其 8.3 短路径对应项相同的文件系统实体。因此，特制的 tar 存档可能包含具有一种形式路径的目录，后跟具有解析为相同文件系统实体的不同字符串的符号链接，并后跟使用第一种形式的文件。通过先创建一个目录，然后用一个符号链接（具有不同的明显名称，并解析为文件系统中的相同条目）替换该目录，用户可以绕过针对目录的“node-tar”符号链接检查，这基本上允许不受信任的 tar 文件以符号链接指向任意位置，然后将任意文件提取到该位置，从而允许应用程序创建和覆盖任意文件。这些问题已在 4.4.18、5.0.10、6.1.9 版本中解决。
    node-tar 的 v3 分支已弃用，且未收到针对这些问题的补丁。如果您仍在使用 v3 版本，我们建议您更新到较新的 node-tar 版本。如果无法执行此操作，可参阅引用的 GHSA-qq89-hq3f-393p 查找解决方法。(CVE-2021-37712)

  - 这会影响 5.1.2 之前版本的 glob-parent 程序包。enclosure regex 之前用于检查以包含路径分隔符的 enclosure 结尾的字符串。(CVE-2020-28469)

  - ansi-regex 容易受到低效正则表达式复杂性的影响 (CVE-2021-3807)

  - json-schema 容易受到受控不当修改对象原型属性（“Prototype Pollution”）的影响 (CVE-2021-3918)

  - 在适用于 Node.js 的低于 4.5.1 版的 normalize-url、低于 5.3.1 版的 normalize-url 5.x 以及低于 6.0.1 版的 normalize-url 6.x 程序包中存在 ReDoS（正则表达式拒绝服务）问题，原因是它对 data: URL 具有指数级性能。
    (CVE-2021-33502)

  - 解析器接受冒号前的标头名称后带有空格 (SP) 的请求。这可导致低于 2.1.4 版和 6.0.6 版的 llhttp 发生 HTTP 请求走私问题。(CVE-2021-22959)

  - 在低于 2.1.4 版和 6.0.6 版的 llhttp 中，parse 函数会在解析分块请求正文时忽略区块扩展。在某些情况下，这会导致 HTTP 请求走私 (HRS)。(CVE-2021-22960)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
156125	CentOS 8：nodejs: 16 (CESA-2021: 5171)	Nessus	CentOS Local Security Checks	2021/12/16	2023/11/22	critical
156129	RHEL 8：nodejs: 16 (RHSA-2021: 5171)	Nessus	Red Hat Local Security Checks	2021/12/16	2024/4/28	critical
157330	CentOS 8：nodejs: 14 (CESA-2022: 0350)	Nessus	CentOS Local Security Checks	2022/2/2	2023/11/17	critical
161897	RHEL 7：rh-nodejs12-nodejs (RHSA-2022: 4914)	Nessus	Red Hat Local Security Checks	2022/6/6	2024/4/28	critical
195166	GLSA-202405-29：Node.js：多个漏洞	Nessus	Gentoo Local Security Checks	2024/5/8	2024/5/8	critical
156548	RHEL 7：rh-nodejs14-nodejs 和 rh-nodejs14-nodejs-nodemon (RHSA-2022: 0041)	Nessus	Red Hat Local Security Checks	2022/1/7	2024/4/28	critical
157311	RHEL 8：nodejs: 14 (RHSA-2022: 0350)	Nessus	Red Hat Local Security Checks	2022/2/2	2024/4/28	critical
162561	Debian DSA-5170-1：nodejs - 安全更新	Nessus	Debian Local Security Checks	2022/6/28	2023/10/19	high
157089	RHEL 8：nodejs: 14 (RHSA-2022: 0246)	Nessus	Red Hat Local Security Checks	2022/1/26	2024/4/28	critical
173113	Amazon Linux 2023：nodejs、nodejs-devel、nodejs-full-i18n (ALAS2023-2023-084)	Nessus	Amazon Linux Local Security Checks	2023/3/21	2023/4/21	critical
154235	Node.js 多个漏洞（2021 年 10 月 12 日安全版本）	Nessus	Misc.	2021/10/19	2024/1/9	medium
168555	Amazon Linux 2022：nodejs (ALAS2022-2022-214)	Nessus	Amazon Linux Local Security Checks	2022/12/9	2023/9/20	critical
156123	Oracle Linux 8：nodejs: 16 (ELSA-2021-5171)	Nessus	Oracle Linux Local Security Checks	2021/12/16	2023/11/22	critical
191380	CentOS 9：nodejs-16.16.0-1.el9	Nessus	CentOS Local Security Checks	2024/2/29	2024/4/26	critical
157333	Oracle Linux 8：nodejs: 14 (ELSA-2022-0350)	Nessus	Oracle Linux Local Security Checks	2022/2/2	2023/11/17	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

high

critical

critical

medium

critical

critical

critical

critical