The version of Node.js installed on the remote host is prior to 18.20.4, 20.15.1, 22.4.1. It is, therefore, affected by multiple vulnerabilities as referenced in the Monday, July 8, 2024 Security Releases advisory.

  - The CVE-2024-27980 was identified as an incomplete fix for the BatBadBut vulnerability. This vulnerability     arises from improper handling of batch files with all possible extensions on Windows via     child_process.spawn / child_process.spawnSync. A malicious command line argument can inject arbitrary     commands and achieve code execution even if the shell option is not enabled. This vulnerability affects     all users of child_process.spawn and child_process.spawnSync on Windows in all active release lines.
    Impact: Thank you, to tianst for reporting this vulnerability and thank you RafaelGSS for fixing it.
    (CVE-2024-27980)

  - A security flaw in Node.js allows a bypass of network import restrictions. By embedding non-network     imports in data URLs, an attacker can execute arbitrary code, compromising system security. Verified on     various platforms, the vulnerability is mitigated by forbidding data URLs in network imports. Exploiting     this flaw can violate network import security, posing a risk to developers and servers. Impact: Thank you,     to dittyroma for reporting this vulnerability and thank you RafaelGSS for fixing it. (CVE-2024-22020)

  - A vulnerability has been identified in Node.js, affecting users of the experimental permission model when     the --allow-fs-write flag is used. Node.js Permission Model do not operate on file descriptors, however,     operations such as fs.fchown or fs.fchmod can use a read-only file descriptor to change the owner and     permissions of a file. This vulnerability affects all users using the experimental permission model in     Node.js 20 and Node.js 22. Please note that at the time this CVE was issued, the permission model is an     experimental feature of Node.js. Impact: Thank you, to 4xpl0r3r for reporting this vulnerability and thank     you RafaelGSS for fixing it. (CVE-2024-36137)

  - A vulnerability has been identified in Node.js, affecting users of the experimental permission model when     the --allow-fs-read flag is used. This flaw arises from an inadequate permission model that fails to     restrict file stats through the fs.lstat API. As a result, malicious actors can retrieve stats from files     that they do not have explicit read access to. This vulnerability affects all users using the experimental     permission model in Node.js 20 and Node.js 22. Please note that at the time this CVE was issued, the     permission model is an experimental feature of Node.js. Impact: Thank you, to haxatron1 for reporting this     vulnerability and thank you RafaelGSS for fixing it. (CVE-2024-22018)

  - The Permission Model assumes that any path starting with two backslashes \ has a four-character prefix     that can be ignored, which is not always true. This subtle bug leads to vulnerable edge cases. This     vulnerability affects Windows users of the Node.js Permission Model in version v22.x and v20.x Impact:
    Thank you, to tniessen for reporting this vulnerability and thank you RafaelGSS for fixing it.
    (CVE-2024-37372)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程主机上安装的 Node.js 版本低于 18.20.4、20.15.1、22.4.1。因此，该应用程序受到 2024 年 7 月 8 日星期一安全版本公告中提及的多个漏洞的影响。

  - CVE-2024-27980 被识别为对 BatBadBut 漏洞的不完整补丁。此漏洞是因为未正确通过 child_process.spawn / child_process.spawnSync 在 Windows 上处理具有所有可能扩展的批处理文件所导致。恶意命令行参数可注入任意命令，即使 shell 选项未启用也可实现代码执行。此漏洞会影响在所有可用的稳定版本系列中使用 child_process.spawn 和 child_process.spawnSync 的所有 Windows 用户。
    影响：感谢 tianst 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。
    (CVE-2024-27980)

  - Node.js 中的安全缺陷允许绕过网络导入限制。通过在数据 URL 中嵌入非网络导入，攻击者可执行任意代码，危害系统安全。可通过禁止网络导入中的数据 URL 来缓解此漏洞，这一点已在多个平台上得到验证。攻击者可利用此缺陷破坏网络导入安全，对开发人员和服务器造成风险。影响：感谢 dittyroma 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。(CVE-2024-22020)

  - 已在 Node.js 中发现一个漏洞，使用 --allow-fs-write 标记时，此漏洞会影响使用实验性权限模型的用户。Node.js 权限模型不会文件描述符进行任何操作，但是，fs.fchown 或 fs.fchmod 等操作可使用只读文件描述符，从而更改文件的所有者和权限。此漏洞会影响使用 Node.js 20 和 Node.js 22 中的实验性权限模型的所有用户。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。影响：感谢 4xpl0r3r 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。(CVE-2024-36137)

  - 已在 Node.js 中发现一个漏洞，使用 --allow-fs-read 标记时，此漏洞会影响使用实验性权限模型的用户。出现此缺陷的原因是模型权限不充分，无法通过 fs.lstat API 限制文件统计数据。如此一来，恶意行为者可以从他们没有显式读取访问权限的文件中检索统计信息。此漏洞会影响使用 Node.js 20 和 Node.js 22 中的实验性权限模型的所有用户。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。影响：感谢 haxatron1 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。(CVE-2024-22018)

  - 权限模型假设任何以两个反斜线 ("\") 开头的路径都具有可忽略的四字符前缀，但情况并非总是如此。此缺陷会导致易受攻击的边缘情况。此漏洞会影响使用 v22.x 和 v20.x 版本中 Node.js 权限模型的 Windows 用户。影响：
    感谢 tniessen 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。
    (CVE-2024-37372)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている Node.js のバージョンは、18.20.4、20.15.1、22.4.1より前のものです。したがって、2024 年 7 月 8 日のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - CVE-2024-27980 は、BatBadBut の脆弱性の不完全な修正として識別されました。この脆弱性は、child_process.spawn / child_process.spawnSync を介した、Windows 上の考えられるすべての拡張子のバッチファイルが不適切に処理されると発生します。シェルオプションが有効でなくても、悪意のあるコマンドライン引数が任意のコマンドを注入してコードを実行する可能性があります。この脆弱性は、Windows のすべてのアクティブなリリースラインの child_process.spawn と child_process.spawnSync のすべてのユーザーに影響します。
    この脆弱性を報告してくれた tianst 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。
    (CVE-2024-27980)

  - Node.js のセキュリティの欠陥により、ネットワークインポート制限のバイパスが可能になります。ネットワーク以外のインポートをデータ URL に埋め込むことによって、攻撃者が任意のコードを実行し、システムのセキュリティを危険にさらす可能性があります。この脆弱性はさまざまなプラットフォームで検証されており、ネットワークインポートでデータ URL を禁止することで緩和されています。この欠陥を悪用すると、ネットワークインポートセキュリティに違反し、開発者とサーバーにリスクをもたらす可能性があります。この脆弱性を報告してくれた dittyroma 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2024-22020)

  - Node.js で脆弱性が特定され、--allow-fs-write フラグが使用されると、実験的なアクセス許可モデルのユーザーに影響を与えます。Node.js アクセス許可モデルはファイル記述子では動作しませんが、fs.fchown や fs.fchmod などの操作では、読み取り専用ファイル記述子を使用して、ファイルの所有者と権限を変更することができます。この脆弱性は、Node.js 20 および Node.js 22 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。この脆弱性を報告してくれた 4xpl0r3r 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2024-36137)

  - Node.js で脆弱性が特定され、--allow-fs-read フラグが使用されると、実験的なアクセス許可モデルのユーザーに影響を与えます。この欠陥は、fs.lstat API を通じてファイル統計を制限できないという、不十分なアクセス許可モデルに起因しています。その結果、悪意のある攻撃者は、明示的な読み取りアクセス権がないファイルから統計情報を取得できる可能性があります。この脆弱性は、Node.js 20 および Node.js 22 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。この脆弱性を報告してくれた haxatron1 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。(CVE-2024-22018)

  - アクセス許可モデルは、2 つのバックスラッシュ「\」で始まるパスには無視できる 4 文字のプレフィックスがあると想定していますが、これは必ずしもそうなるとは限りません。この小さなバグが脆弱なエッジケースにつながります。この脆弱性は、バージョン v22.x および v20.x の Node.js アクセス許可モデルの Windows ユーザーに影響を与えます。影響:
    この脆弱性を報告してくれた tniessen 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。
    (CVE-2024-37372)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端主機上安裝的 Node.js 版本早於 18.20.4、20.15.1 或 22.4.1。因此，會受到 2021 年 7 月 8 日週一安全性版本公告中所提及的多個弱點影響。

  - CVE-2024-27980 被識別為 BatBad But 弱點的不完整修正。此弱點是因為透過 child_process.spawn / child_process.spawnSync 在 Windows 上不當處理具有所有可能副檔名的批次檔案所導致。如果未啟用 shell 選項，惡意命令行引數仍可插入任意命令並執行程式碼。此弱點會影響 Windows 上所有使用中版本行的 child_process.spawn 和 child_process.spawnSync 使用者。
    影響：感謝 tianst 報告此弱點，同時感謝 RafaelGSS 修正此弱點。  
    (CVE-2024-27980)

  - Node.js 中的安全性瑕疵允許繞過網路匯入限制。藉由在資料 URL 中內嵌非網路匯入，攻擊者可執行任意程式碼，進而危害系統安全性。此弱點已在多種平台上驗證，透過在網路匯入中禁止資料 URL 可減輕弱點的影響。惡意利用此瑕疵可違反網路匯入安全性，對開發人員和伺服器造成風險。影響：感謝 dittyroma 報告此弱點，同時感謝 RafaelGSS 修正此弱點。(CVE-2024-22020)

  - 在 Node.js 中發現一個弱點，當 --allow-fs-write 旗標使用時，此弱點會影響實驗權限模型的使用者。Node.js 權限模型無法在檔案描述符號上運作，不過，fs.fchown 或 fs.fchmod 等作業可使用唯讀檔案描述符號來變更檔案的擁有者和權限。此弱點會影響使用 Node.js 20 和 Node.js 22 版中實驗性權限模型的所有使用者。請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。影響：感謝 4xpl0r3r 報告此弱點，同時感謝 RafaelGSS 修正此弱點。(CVE-2024-36137)

  - 在 Node.js 中發現一個弱點，當 --allow-fs-read 旗標使用時，此弱點會影響實驗權限模型的使用者。產生此弱點的原因是，權限模型不足，無法透過 fs.lstat API 限制檔案統計資料。因此，惡意執行者可以從他們沒有明確讀取權限的檔案中擷取統計資料。此弱點會影響使用 Node.js 20 和 Node.js 22 版中實驗性權限模型的所有使用者。請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。影響：感謝 haxatron1 報告此弱點，同時感謝 RafaelGSS 修正此弱點。(CVE-2024-22018)

  - 權限模型假設任何以兩個反斜線 \ 開頭的路徑都有一個可以忽略的四字元前置詞，但情況並非總是如此。這個細微的錯誤會導致容易遭受攻擊的邊緣案例。此弱點會影響 v22.x 和 v20.x 版中 Node.js 權限模型的 Windows 使用者 影響：
    感謝 tniessen 報告此弱點，同時感謝 RafaelGSS 修正此弱點。  
    (CVE-2024-37372)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	Name	Product	Family	Published	Updated	Severity
201969	Node.js 18.x < 18.20.4 / 20.x < 20.15.1 / 22.x < 22.4.1 Multiple Vulnerabilities (Monday, July 8, 2024 Security Releases).	Nessus	Misc.	7/8/2024	7/12/2024	critical
201969	Node.js 18.x < 18.20.4 / 20.x < 20.15.1 / 22.x < 22.4.1 多个漏洞（2024 年 7 月 8 日星期一安全版本）。	Nessus	Misc.	7/8/2024	7/12/2024	critical
201969	Node.js 18.x< 18.20.4/ 20.x< 20.15.1/ 22.x< 22.4.1複数の脆弱性 (2024 年 7 月 8 日月曜日のセキュリティリリース)。	Nessus	Misc.	7/8/2024	7/12/2024	critical
201969	Node.js 18.x < 18.20.4 / 20.x < 20.15.1 / 22.x < 22.4.1 多個弱點 (2024 年 7 月 8 日週一安全性版本)。	Nessus	Misc.	7/8/2024	7/12/2024	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical