发现 c-ares 未能正确处理某些 NAPTR 响应。远程攻击者可能利用此问题造成使用 c-ares 的应用程序崩溃，从而导致拒绝服务。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行了自动清理和排版。

根据其自我报告的版本，远程主机上运行的 Nessus Network Monitor 版本低于 6.2.2 版。因此，它受到 TNS-2023-23 公告中提及的多个漏洞影响。已发现多个第三方组件包含漏洞，供应商已提供更新版本。出于谨慎考虑且符合最佳实践，Tenable 选择升级这些组件，以解决这些问题的潜在影响。Nessus Network Monitor 6.2.2 更新了以下组件：

  - 将 c-ares 版本从 1.10.0 更新到 1.19.1。
  - 将 curl 版本从 7.79.1 更新到 8.1.2。
  - 将 libbzip2 版本从 1.0.6 更新到 1.0.8。
  - 将 libpcre 版本从 8.42 更新到 8.44。
  - 将 libxml2 版本从 2.7.7 更新到 2.11.1。
  - 将 libxslt 版本从 1.1.26 更新到 1.1.37。
  - 将 libxmlsec 版本从 1.2.18 更新到 1.2.37。
  - 将 sqlite 版本从 3.27.2 更新到 3.40.1。
  - 将 jQuery Cookie 版本从 1.3.1 更新到 1.4.1。
  - 将 jQuery UI 版本从 1.13.0 更新到 1.13.2。
  - 将 OpenSSL 版本从 3.0.8 更新到 3.0.9。

如果传入的 DNS 响应数据包是以特定方式特制，可触发用于解析 NAPTR 响应的 c-ares 函数 `ares_parse_naptr_reply()`，以读取给定输入缓冲区之外的内存。(CVE-2017-1000381)

CVE-2017-1000381 如果传入的 DNS 响应数据包是以特定方式特制，可触发用于解析 NAPTR 响应的 c-ares 函数 ares_parse_naptr_reply()，以读取给定输入缓冲区之外的内存。对于 Debian 7“Wheezy”，这些问题已在 1.9.1-3+deb7u2 版本中修复。建议您升级 c-ares 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

远程 Ubuntu 16.04 ESM / 18.04 ESM 主机上安装的多个程序包受到 USN-4796-1 公告中提及的多个漏洞影响。

  - 0.10.47 之前的 Node.js 0.10.x、0.12.16 之前的 0.12.x、4.6.0 之前的 4.x 和 6.7.0 之前的 6.x 中 tls.checkServerIdentity 函数未正确处理 X.509 证书名称字段中的通配符，这使得中间人攻击者可以通过精心设计的证书来欺骗服务器。(CVE-2016-7099)

  - 如果传入的 DNS 响应数据包是以特定方式构建，可触发用于解析 NAPTR 响应的 c-ares 函数 `ares_parse_naptr_reply()`，以读取给定输入缓冲区之外的内存。(CVE-2017-1000381)

  - 在 6.14.4、 8.11.4 和 10.9.0 之前的所有 Node.js 版本中，当与 UCS-2 编码一起使用时（由 Node.js 识别为以下名称：`'ucs2'`、`'ucs-2'`、`'utf16le'` 和 `'utf-16le'`），`Buffer#write()` 可能被滥用，导致在单个 `Buffer` 的边界之外写入。写入从缓冲区倒数第二个位置开始，会导致错误计算要写入的输入字节的最大长度。(CVE-2018-12115)

  - Node.js: Node.js 6.15.0 和 8.14.0 之前的所有版本：HTTP 请求拆分：如果可以诱使 Node.js 将未审查的用户提供的 Unicode 数据用于 HTTP 请求的 `path` 选项，则可以提供数据，这将触发向相同服务器发出的第二个意外、由用户定义的 HTTP 请求。(CVE-2018-12116)

  - Node.js: Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：Slowloris HTTP 拒绝服务：攻击者可以通过非常缓慢地发送标头来长时间保持 HTTP 或 HTTPS 连接及相关资源处于活动状态，从而导致拒绝服务 (DoS)。(CVE-2018-12122)

  - Node.js: Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：URL 解析器中用于 javascript 协议的主机名伪造：如果 Node.js 应用程序使用 url.parse() 来确定 URL 主机名，则可以使用大小写混合的 javascript 协议来欺骗该主机名：（例如 javAscript：，其他协议不受影响）。如果根据主机名对 URL 做出安全决策，则它们可能不正确。(CVE-2018-12123)

  - Node.js 检查器 6.x 和更高版本容易遭受 DNS 重新绑定攻击，攻击者可利用此漏洞发起远程代码执行。攻击可能来自在 Web 浏览器中打开的恶意网站，而浏览器可能安装在同一台电脑上，或是安装在能够通过网络访问运行 Node.js 进程的其他电脑上。恶意网站可使用 DNS 重新绑定攻击来诱骗 Web 浏览器绕过同源策略检查，并允许实现指向 localhost 或本地网络上主机的 HTTP 连接。如果启用错误调试端口的 Node.js 进程在 localhost 或位于本地网络的主机上运行，则恶意网站可连接此进程并将其充作调试程序，并获得完整的代码执行权限。(CVE-2018-7160)

  - 使用带某些参数的调用 Buffer.fill() 或 Buffer.alloc() 可能会导致挂起，从而造成拒绝服务。为了解决此漏洞，已更新 Buffer.alloc() 和 Buffer.fill() 的实现，以便它们在这些情况下的内存填充为 0 而不是挂起。Node.js 6.x (LTS Boron)、8.x (LTS Carbon) 和 9.x 的所有版本均容易受到攻击。Node.js 10.x（当前版本）的所有版本均不易受到攻击。(CVE-2018-7167)

  - 在 Node.js（包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x）中，攻击者可以通过在保持活动状态中建立 HTTP 或 HTTPS 连接并非常缓慢地发送标头来导致拒绝服务 (DoS)。这可使连接及其关联资源长时间保持活动状态。使用负载均衡器或其他代理层可缓解潜在攻击。
    此漏洞是 CVE-2018-12121 的扩展，已在 11 月得到解决，此漏洞会影响所有活跃的 Node.js 发行版本，包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x。(CVE-2019-5737)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
102583	Ubuntu 14.04 LTS / 16.04 LTS：c-ares 漏洞 (USN-3395-1)	Nessus	Ubuntu Local Security Checks	2017/8/18	2023/10/23	high
177842	Nessus Network Monitor < 6.2.2 多个漏洞 (TNS-2023-23)	Nessus	Misc.	2023/6/30	2023/7/6	critical
101934	Amazon Linux AMI：c-ares (ALAS-2017-859)	Nessus	Amazon Linux Local Security Checks	2017/7/25	2018/4/18	high
101006	Debian DLA-998-1：c-ares 安全更新	Nessus	Debian Local Security Checks	2017/6/23	2021/1/11	high
183156	Ubuntu 16.04 ESM / 18.04 ESM：Node.js 漏洞 (USN-4796-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2023/10/16	high

检测

插件搜索

high

critical

high

high

high