远程主机上安装的 F5 Networks BIG-IP 版本低于测试版本。因此，它受到 K000137093 公告中提及的多个漏洞影响。

  - 使用带某些参数的调用 Buffer.fill() 或 Buffer.alloc() 可能会导致挂起，从而造成拒绝服务。为了解决此漏洞，已更新 Buffer.alloc() 和 Buffer.fill() 的实现，以便它们在这些情况下的内存填充为 0 而不是挂起。Node.js 6.x (LTS Boron)、8.x (LTS Carbon) 和 9.x 的所有版本均容易受到攻击。Node.js 10.x（当前版本）的所有版本均不易受到攻击。(CVE-2018-7167)

  - 在 6.14.4、 8.11.4 和 10.9.0 之前的所有 Node.js 版本中，当与 UCS-2 编码一起使用时（由 Node.js 识别为以下名称：`'ucs2'`、`'ucs-2'`、`'utf16le'` 和 `'utf-16le'`），`Buffer#write()` 可能被滥用，导致在单个 `Buffer` 的边界之外写入。写入从缓冲区倒数第二个位置开始，会导致错误计算要写入的输入字节的最大长度。(CVE-2018-12115)

  - Node.js：所有低于 Node.js 6.15.0 和 8.14.0 的版本：HTTP 请求拆分：如果可以诱使 Node.js 将未审查的用户提供的 Unicode 数据用于 HTTP 请求的 `path` 选项，则可以提供数据，然后触发向相同服务器发出第二个非预期的由用户定义的 HTTP 请求。(CVE-2018-12116)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机受到 GLSA-202003-48 中所述漏洞的影响（Node.js：多个漏洞）

    已在 Node.js 中发现多个漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    远程攻击者可能编写任意文件，造成拒绝服务情况或展开 HTTP 请求拆分攻击。
  变通方案：

    目前无任何已知的变通方案。

远程主机上安装的 Node.js 版本为低于 6.15.0 的 6.x、低于 8.14.0 的 8.x、低于 10.14.0 的 10.x 或低于 11.3.0 的 11.x。因此，该应用程序受到多个漏洞的影响。

  - DSA 签名生成中的 OpenSSL 计时漏洞 (CVE-2018-0734)。

  - ECDSA 签名生成中的 OpenSSL 计时漏洞 (CVE-2018-0735)。

  - ECC 纯量乘法中的 OpenSSL 微架构计时漏洞 (CVE-2018-5407)。

  - 调试端口 5858 默认会在任何界面上监听 (CVE-2018-12120)。

  - 具有大型 HTTP 标头拒绝服务 (CVE-2018-12121)。

  - Slowloris HTTP 拒绝服务 (CVE-2018-12122)。

  - URL 解析器中用于 javascript 协议的主机名伪造 (CVE-2018-12123)。

  - HTTP 请求拆分 (CVE-2018-12116)。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号。

远程 Ubuntu 16.04 ESM / 18.04 ESM 主机上安装的多个程序包受到 USN-4796-1 公告中提及的多个漏洞影响。

  - 0.10.47 之前的 Node.js 0.10.x、0.12.16 之前的 0.12.x、4.6.0 之前的 4.x 和 6.7.0 之前的 6.x 中 tls.checkServerIdentity 函数未正确处理 X.509 证书名称字段中的通配符，这使得中间人攻击者可以通过精心设计的证书来欺骗服务器。(CVE-2016-7099)

  - 如果传入的 DNS 响应数据包是以特定方式构建，可触发用于解析 NAPTR 响应的 c-ares 函数 `ares_parse_naptr_reply()`，以读取给定输入缓冲区之外的内存。(CVE-2017-1000381)

  - 在 6.14.4、 8.11.4 和 10.9.0 之前的所有 Node.js 版本中，当与 UCS-2 编码一起使用时（由 Node.js 识别为以下名称：`'ucs2'`、`'ucs-2'`、`'utf16le'` 和 `'utf-16le'`），`Buffer#write()` 可能被滥用，导致在单个 `Buffer` 的边界之外写入。写入从缓冲区倒数第二个位置开始，会导致错误计算要写入的输入字节的最大长度。(CVE-2018-12115)

  - Node.js: Node.js 6.15.0 和 8.14.0 之前的所有版本：HTTP 请求拆分：如果可以诱使 Node.js 将未审查的用户提供的 Unicode 数据用于 HTTP 请求的 `path` 选项，则可以提供数据，这将触发向相同服务器发出的第二个意外、由用户定义的 HTTP 请求。(CVE-2018-12116)

  - Node.js: Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：Slowloris HTTP 拒绝服务：攻击者可以通过非常缓慢地发送标头来长时间保持 HTTP 或 HTTPS 连接及相关资源处于活动状态，从而导致拒绝服务 (DoS)。(CVE-2018-12122)

  - Node.js: Node.js 6.15.0 前的所有版本、8.14.0、10.14.0 和 11.3.0：URL 解析器中用于 javascript 协议的主机名伪造：如果 Node.js 应用程序使用 url.parse() 来确定 URL 主机名，则可以使用大小写混合的 javascript 协议来欺骗该主机名：（例如 javAscript：，其他协议不受影响）。如果根据主机名对 URL 做出安全决策，则它们可能不正确。(CVE-2018-12123)

  - Node.js 检查器 6.x 和更高版本容易遭受 DNS 重新绑定攻击，攻击者可利用此漏洞发起远程代码执行。攻击可能来自在 Web 浏览器中打开的恶意网站，而浏览器可能安装在同一台电脑上，或是安装在能够通过网络访问运行 Node.js 进程的其他电脑上。恶意网站可使用 DNS 重新绑定攻击来诱骗 Web 浏览器绕过同源策略检查，并允许实现指向 localhost 或本地网络上主机的 HTTP 连接。如果启用错误调试端口的 Node.js 进程在 localhost 或位于本地网络的主机上运行，则恶意网站可连接此进程并将其充作调试程序，并获得完整的代码执行权限。(CVE-2018-7160)

  - 使用带某些参数的调用 Buffer.fill() 或 Buffer.alloc() 可能会导致挂起，从而造成拒绝服务。为了解决此漏洞，已更新 Buffer.alloc() 和 Buffer.fill() 的实现，以便它们在这些情况下的内存填充为 0 而不是挂起。Node.js 6.x (LTS Boron)、8.x (LTS Carbon) 和 9.x 的所有版本均容易受到攻击。Node.js 10.x（当前版本）的所有版本均不易受到攻击。(CVE-2018-7167)

  - 在 Node.js（包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x）中，攻击者可以通过在保持活动状态中建立 HTTP 或 HTTPS 连接并非常缓慢地发送标头来导致拒绝服务 (DoS)。这可使连接及其关联资源长时间保持活动状态。使用负载均衡器或其他代理层可缓解潜在攻击。
    此漏洞是 CVE-2018-12121 的扩展，已在 11 月得到解决，此漏洞会影响所有活跃的 Node.js 发行版本，包括 6.17.0 之前的 6.x、8.15.1 之前的 8.x、10.15.2 之前的 10.x 和 11.10.1 之前的 11.x。(CVE-2019-5737)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
182423	F5 Networks BIG-IP：Node.js 漏洞 (K000137093)	Nessus	F5 Networks Local Security Checks	2023/10/2	2024/3/20	high
134776	GLSA-202003-48：Node.js：多个漏洞	Nessus	Gentoo Local Security Checks	2020/3/23	2024/3/21	critical
119938	Node.js 多个漏洞（2018 年 11 月安全版本）	Nessus	Misc.	2018/12/28	2024/1/9	high
183156	Ubuntu 16.04 ESM / 18.04 ESM：Node.js 漏洞 (USN-4796-1)	Nessus	Ubuntu Local Security Checks	2023/10/16	2023/10/16	high

检测

插件搜索

high

critical

high

high