リモートホストにインストールされている Node.js のバージョンは、16.20.1、18.16.1、20.3.1より前のものです。したがって、2023 年 6 月 20 日のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - process.mainModule.proto.require() で proto を使用すると、ポリシーメカニズムがバイパスされ、policy.json 定義外のモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。この脆弱性を報告してくれた Axel Chong 氏に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。(CVE-2023-30581)

  - Node.js バージョン 20 で、特に実験的なアクセス許可モデル内に脆弱性が発見されました。この欠陥は、ファイルアクセス許可を検証する際のパストラバーサルバイパスの不適切な処理に関連しています。
    この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。この脆弱性を報告してくれた Axel Chong 氏に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。
    (CVE-2023-30584)

  - Node.js バージョン 20 の--experimental-permission脆弱性により、組み込みインスペクターモジュールを使用して、フラグで設定された制限をバイパスできます (node: インスペクター)。Worker クラスが kIsInternal Symbol で内部ワーカーを作成する機能を悪用することで、攻撃者は新しい WorkerImpl を初期化する前に、Worker コンストラクター内でインスペクターがアタッチされている場合、isInternal 値を変更することができます。
    この脆弱性は、Node.js 20 のアクセス許可モデルメカニズムを採用している Node.js ユーザーにのみ影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。この脆弱性を報告してくれた mattaustin 氏に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。(CVE-2023-30587)

  - Node.js バージョン 20 で脆弱性が特定され、--allow-fs-read フラグが*以外の引数で使用されると、実験的なアクセス許可モデルのユーザーに影響を与えます。この欠陥は、fs.watchFile API を通じてファイル監視を制限できない、不十分なアクセス許可モデルから発生します。その結果、悪意のある攻撃者は、明示的な読み取りアクセス権がないファイルを監視できます。この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。この脆弱性を報告してくれた Colin Ihrig 氏に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。(CVE-2023-30582)

  - Node.js 20 で --allow-fs-read フラグのあるファイルシステム読み取り制限を使用する場合、fs.openAsBlob() が実験的なアクセス許可モデルをバイパスする可能性があります。この欠陥は、fs.openAsBlob() API にチェックがないために発生します。この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。この脆弱性を報告してくれた Colin Ihrig 氏に、および修正してくれた Rafael Gonzaga 氏に感謝の意を表します。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。(CVE-2023-30583)

  - Node.js (.msi バージョン) のインストールプロセスに脆弱性が特定され、特に .msi インストーラーを使用して Node.js をインストールする Windows ユーザーに影響を与えます。この脆弱性は、NT AUTHORITY\SYSTEM コンテキストで実行されている msiexec.exe プロセスが現在のユーザーのレジストリから %USERPROFILE% 環境変数を読み取ろうとする修復操作中に発生します。この問題は、%USERPROFILE% 環境変数によって参照されるパスが存在しない場合に発生します。このような場合、msiexec.exe プロセスは安全でない方法で指定されたパスを作成しようとします。これにより、任意の場所に任意のフォルダが作成される可能性があります。Windows レジストリの ％USERPROFILE％ 環境変数が標準 (または権限のない) ユーザーによって変更される可能性があるため、この脆弱性の深刻度は高まります。その結果、悪意のあるエンティティまたはトロイの木馬を含む権限のないアクターが、環境変数のキーを操作して、権限のある msiexec.exe プロセスを騙す可能性があります。この操作により、意図しない悪意のある場所にフォルダが作成される可能性があります。注意: この脆弱性は、.msi インストーラーを使用して Node.js をインストールする Windows ユーザー特有のものです。他のインストール方法を選択するユーザーは、この特定の問題による影響を受けません。
    これは次のすべてのアクティブな Node.js バージョンに影響します。v16、v18、v20。この脆弱性を報告してくれた @sim0nsecurity 氏に、および修正してくれた Tobias Nieen 氏に感謝の意を表します。(CVE-2023-30585)

  - Node.js 20 では、実験的なアクセス許可モデルが有効な場合、任意の OpenSSL エンジンを読み込むことができます。これにより、アクセス許可モデルがバイパスまたは無効化される可能性があります。crypto.setEngine() API は、互換性のある OpenSSL エンジンで呼び出されたときに、アクセス許可モデルをバイパスするために使用できます。たとえば、OpenSSL エンジンは、プロセスのスタックメモリを操作して、ホストプロセスのヒープメモリにあるアクセス許可モデル Permission: : enabled_ を見つけることで、ホストプロセスの権限モデルを無効にする可能性があります。この脆弱性は、Node.js 20 で実験的なアクセス許可モデルを使用しているすべてのユーザーに影響を与えます。注意: この CVE が発行された時点では、このアクセス許可は Node.js の実験的な機能です。この脆弱性を報告および修正してくれた Tobias Nieen 氏に感謝の意を表します。(CVE-2023-30586)

  - crypto.X509Certificate() API を使用して x509 証明書を作成するために無効な公開鍵が使用されると、予期しない終了が発生し、ユーザーコードから提供された証明書の公開鍵情報にアクセスする際にプロセスが終了するため、攻撃者がアプリケーション処理を強制的に中断させる DoS 攻撃を受ける可能性があります。ユーザーの現在のコンテキストがなくなり、DoS シナリオが発生します。この脆弱性は、すべてのアクティブな Node.js バージョン v16、v18、v20 に影響します。この脆弱性を報告してくれた Marc Schnefeld 氏に、および修正してくれた Tobias Nieen 氏に感謝の意を表します。
    (CVE-2023-30588)

  - Node.js の http モジュールの llhttp パーサーは、HTTP リクエストの区切りに CRLF シーケンスを厳密には使用しません。これにより、HTTP リクエストスマグリングが引き起こされる可能性があります (HRS)。CR 文字 (LF なし) は、llhttp パーサーの HTTP ヘッダーフィールドを区切るのに十分です。RFC7230 セクション 3 によると、CRLF シーケンスだけが各ヘッダーフィールドを区切る必要があります。この脆弱性は、次のすべての Node.js アクティブバージョンに影響します。v16、v18、v20。この脆弱性を報告してくれた Yadhu Krishna M 氏 (チーム bi0s & CRED セキュリティチーム) に、およびこの問題を修正してくれた Paolo Insogna 氏に感謝の意を表します。(CVE-2023-30589)

  - crypto.createDiffieHellman() から返された generateKeys() API 関数は、欠落している (または古い) 鍵のみを生成します。つまり、何も設定されていない場合にのみ、秘密鍵を生成します。ただし、ドキュメントには次の API 呼び出しが記載されています。プライベートおよびパブリックの Diffie-Hellman キー鍵の値を生成します。文書化された動作は実際の動作とは異なり、DiffieHellman がアプリケーションレベルのセキュリティの基礎として使用される可能性があるため、これらの API を使用するアプリケーションでセキュリティの問題が簡単に発生する可能性があります。これはドキュメントの変更であり、この脆弱性は CWE-1068 - 実装と文書化された設計の不一致に分類されています。この変更は、次のすべての Node.js アクティブバージョンに適用されます。v16、v18、v20。この脆弱性を報告してくれた Ben Smyth 氏に、および修正してくれた Tobias Nieen 氏に感謝の意を表します。(CVE-2023-30590)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートのホストにインストールされている Siemens SINEC NMS は、2.0.1.0 より前のバージョンです。したがって、SSA-943925 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - 3.3.4 までの coreruleset (別名 OWASP ModSecurity コアルールセット) は、一部のプラットフォームで複数の Content-Type リクエストヘッダーを検出しません。これにより、攻撃者が細工されたペイロードで WAF をバイパス (別名 WAF とバックエンドアプリケーション間の Content-Type の取り違え) する可能性があります。これは、ウェブアプリケーションが最後の Content-Type ヘッダーのみに依存している場合に発生します。他のプラットフォームが追加の Content-Type ヘッダーを拒否したり、競合するヘッダーをマージしたりすると、無効な形式のヘッダーとして検出される可能性があります。
    (CVE-2023-38199)

  - Apache HTTP Server バージョン 2.4.0〜 2.4.55の一部の mod_proxy 設定では、HTTP リクエストスマグリング攻撃が可能です。mod_proxy が何らかの形式の RewriteRule または ProxyPassMatch と共に有効化され、非特定のパターンがユーザー指定のリクエストターゲット (URL) データの一部に一致し、変数置換を使用してプロキシされたリクエストターゲットに再挿入されると、設定が影響を受けます。例えば、RewriteRule ^/here/(.*) http://example.com:8080/elsewhere?$1; [P] ProxyPassReverse /here/ http://example.com:8080/ の RewriteEngine リクエストの分割 / スマグリングにより、プロキシサーバーのアクセスコントロールのバイパス、既存のオリジンサーバーへの意図しない URL のプロキシ、キャッシュポイズニングが発生する可能性があります。ユーザーは、少なくともバージョン 2.4.56 の Apache HTTP Server に更新することをお勧めします。(CVE-2023-25690)

  - 「Module._load()」の使用により、ポリシーメカニズムをバイパスし、特定のモジュールの policy.json 定義外にモジュールが必要になる可能性があります。この脆弱性は、次のすべてのアクティブなリリースラインで実験的なポリシーメカニズムを使用しているすべてのユーザーに影響します。16.x、18.x、20.x。注意: この CVE が発行された時点では、このポリシーは Node.js の実験的な機能です。(CVE-2023-32002)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of Siemens SINEC NMS installed on the remote host is prior to 2.0.1.0. It is, therefore, affected by multiple vulnerabilities as referenced in the SSA-943925 advisory.

  - coreruleset (aka OWASP ModSecurity Core Rule Set) through 3.3.4 does not detect multiple Content-Type     request headers on some platforms. This might allow attackers to bypass a WAF with a crafted payload,     aka Content-Type confusion between the WAF and the backend application. This occurs when the web     application relies on only the last Content-Type header. Other platforms may reject the additional     Content-Type header or merge conflicting headers, leading to detection as a malformed header.
    (CVE-2023-38199)

  - Some mod_proxy configurations on Apache HTTP Server versions 2.4.0 through 2.4.55 allow a HTTP Request     Smuggling attack. Configurations are affected when mod_proxy is enabled along with some form of     RewriteRule or ProxyPassMatch in which a non-specific pattern matches some portion of the user-supplied     request-target (URL) data and is then re-inserted into the proxied request-target using variable     substitution. For example, something like: RewriteEngine on RewriteRule ^/here/(.*)     http://example.com:8080/elsewhere?$1; [P] ProxyPassReverse /here/ http://example.com:8080/ Request     splitting/smuggling could result in bypass of access controls in the proxy server, proxying unintended     URLs to existing origin servers, and cache poisoning. Users are recommended to update to at least version     2.4.56 of Apache HTTP Server. (CVE-2023-25690)

  - The use of `Module._load()` can bypass the policy mechanism and require modules outside of the policy.json     definition for a given module. This vulnerability affects all users using the experimental policy     mechanism in all active release lines: 16.x, 18.x and, 20.x. Please note that at the time this CVE was     issued, the policy is an experimental feature of Node.js. (CVE-2023-32002)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The version of Node.js installed on the remote host is prior to 16.20.1, 18.16.1, 20.3.1. It is, therefore, affected by multiple vulnerabilities as referenced in the Tuesday June 20 2023 Security Releases advisory.

  - The use of proto in process.mainModule.proto.require() can bypass the policy mechanism and require modules     outside of the policy.json definition. This vulnerability affects all users using the experimental policy     mechanism in all active release lines: 16.x, 18.x and, 20.x. Please note that at the time this CVE was     issued, the policy is an experimental feature of Node.js. Thank you, to Axel Chong for reporting this     vulnerability and thank you Rafael Gonzaga for fixing it. (CVE-2023-30581)

  - A vulnerability has been discovered in Node.js version 20, specifically within the experimental permission     model. This flaw relates to improper handling of path traversal bypass when verifying file permissions.
    This vulnerability affects all users using the experimental permission model in Node.js 20. Please note     that at the time this CVE was issued, the permission model is an experimental feature of Node.js. Thank     you, to Axel Chong for reporting this vulnerability and thank you Rafael Gonzaga for fixing it.
    (CVE-2023-30584)

  - A vulnerability in Node.js version 20 allows for bypassing restrictions set by the --experimental-     permission flag using the built-in inspector module (node:inspector). By exploiting the Worker class's     ability to create an internal worker with the kIsInternal Symbol, attackers can modify the isInternal     value when an inspector is attached within the Worker constructor before initializing a new WorkerImpl.
    This vulnerability exclusively affects Node.js users employing the permission model mechanism in Node.js     20. Please note that at the time this CVE was issued, the permission model is an experimental feature of     Node.js. Thank you, to mattaustin for reporting this vulnerability and thank you Rafael Gonzaga for fixing     it. (CVE-2023-30587)

  - A vulnerability has been identified in Node.js version 20, affecting users of the experimental permission     model when the --allow-fs-read flag is used with a non-* argument. This flaw arises from an inadequate     permission model that fails to restrict file watching through the fs.watchFile API. As a result, malicious     actors can monitor files that they do not have explicit read access to. This vulnerability affects all     users using the experimental permission model in Node.js 20. Please note that at the time this CVE was     issued, the permission model is an experimental feature of Node.js. Thanks to Colin Ihrig for reporting     this vulnerability and to Rafael Gonzaga for fixing it. (CVE-2023-30582)

  - fs.openAsBlob() can bypass the experimental permission model when using the file system read restriction     with the --allow-fs-read flag in Node.js 20. This flaw arises from a missing check in the fs.openAsBlob()     API. This vulnerability affects all users using the experimental permission model in Node.js 20. Thanks to     Colin Ihrig for reporting this vulnerability and to Rafael Gonzaga for fixing it. Please note that at the     time this CVE was issued, the permission model is an experimental feature of Node.js. (CVE-2023-30583)

  - A vulnerability has been identified in the Node.js (.msi version) installation process, specifically     affecting Windows users who install Node.js using the .msi installer. This vulnerability emerges during     the repair operation, where the msiexec.exe process, running under the NT AUTHORITY\SYSTEM context,     attempts to read the %USERPROFILE% environment variable from the current user's registry. The issue arises     when the path referenced by the %USERPROFILE% environment variable does not exist. In such cases, the     msiexec.exe process attempts to create the specified path in an unsafe manner, potentially leading to     the creation of arbitrary folders in arbitrary locations. The severity of this vulnerability is heightened     by the fact that the %USERPROFILE% environment variable in the Windows registry can be modified by     standard (or non-privileged) users. Consequently, unprivileged actors, including malicious entities or     trojans, can manipulate the environment variable key to deceive the privileged msiexec.exe process. This     manipulation can result in the creation of folders in unintended and potentially malicious locations. It     is important to note that this vulnerability is specific to Windows users who install Node.js using the     .msi installer. Users who opt for other installation methods are not affected by this particular issue.
    This affects all active Node.js versions: v16, v18, and, v20. Thank you, to @sim0nsecurity for reporting     this vulnerability and thank you Tobias Nieen for fixing it. (CVE-2023-30585)

  - Node.js 20 allows loading arbitrary OpenSSL engines when the experimental permission model is enabled,     which can bypass and/or disable the permission model. The crypto.setEngine() API can be used to bypass the     permission model when called with a compatible OpenSSL engine. The OpenSSL engine can, for example,     disable the permission model in the host process by manipulating the process's stack memory to locate the     permission model Permission::enabled_ in the host process's heap memory. This vulnerability affects all     users using the experimental permission model in Node.js 20. Please note that at the time this CVE was     issued, the permission model is an experimental feature of Node.js. Thanks to Tobias Nieen for reporting     this vulnerability and fixing it. (CVE-2023-30586)

  - When an invalid public key is used to create an x509 certificate using the crypto.X509Certificate() API a     non-expect termination occurs making it susceptible to DoS attacks when the attacker could force     interruptions of application processing, as the process terminates when accessing public key info of     provided certificates from user code. The current context of the users will be gone, and that will cause a     DoS scenario. This vulnerability affects all active Node.js versions v16, v18, and, v20. Thank you, to     Marc Schnefeld for reporting this vulnerability and thank you Tobias Nieen for fixing it.
    (CVE-2023-30588)

  - The llhttp parser in the http module in Node.js does not strictly use the CRLF sequence to delimit HTTP     requests. This can lead to HTTP Request Smuggling (HRS). The CR character (without LF) is sufficient to     delimit HTTP header fields in the llhttp parser. According to RFC7230 section 3, only the CRLF sequence     should delimit each header-field. This vulnerability impacts all Node.js active versions: v16, v18, and,     v20. Thank you, to Yadhu Krishna M(Team bi0s & CRED Security team) for reporting this vulnerability and     thank you Paolo Insogna for fixing it. (CVE-2023-30589)

  - The generateKeys() API function returned from crypto.createDiffieHellman() only generates missing (or     outdated) keys, that is, it only generates a private key if none has been set yet. However, the     documentation says this API call: Generates private and public Diffie-Hellman key values. The documented     behavior is different from the actual behavior, and this difference could easily lead to security issues     in applications that use these APIs as the DiffieHellman may be used as the basis for application-level     security. Please note that this is a documentation change an the vulnerability has been classified under     CWE-1068 - Inconsistency Between Implementation and Documented Design. This change applies to all Node.js     active versions: v16, v18, and, v20. Thanks to Ben Smyth for reporting this vulnerability and to Tobias     Nieen for fixing it. (CVE-2023-30590)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端主機上安裝的 Node.js 版本早於 16.20.1、18.16.1 或 20.3.1。因此，它受到 2023 年 6 月 20 日星期二安全性版本公告中提及的多個弱點影響。

  - process.mainModule.proto.require() 中使用的 proto 可繞過原則機制並要求 policy.json 定義之外的模組。此弱點會影響在下列所有有效版本系列中使用實驗性原則機制的所有使用者：16.x、18.x 和 20.x。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能。感謝 Axel Chong 報告此弱點，同時感謝 Rafael Gonzaga 修正此弱點。(CVE-2023-30581)

  - 在 Node.js 20 版本中發現一個弱點，特別是在實驗性權限模型中。此缺陷與驗證檔案權限時未正確處理路徑遊走略過問題有關。
    此弱點會影響使用 Node.js 20 版中實驗性權限模型的所有使用者。請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。感謝 Axel Chong 報告此弱點，同時感謝 Rafael Gonzaga 修正此弱點。
    (CVE-2023-30584)

  - Node.js 20 版中有一個弱點，允許繞過使用內建檢查器模組 (node:inspector) 的 --experimental-permission 旗標設定的限制。攻擊者可利用 Worker 類別建立包含 kIsInternal Symbol 的內部背景工作，進而在 Worker 建構函式內附加檢查器時，在初始化新的 WorkerImpl 之前修改 isInternal 的值。
    此弱點只會影響使用 Node.js 20 版中權限模型機制的 Node.js 使用者。請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。感謝 mattaustin 報告此弱點，同時感謝 Rafael Gonzaga 修正此弱點。(CVE-2023-30587)

  - 在 Node.js 20 版中發現一個弱點，當 --allow-fs-read 旗標與 non-* 引數一起使用時，此弱點會影響實驗權限模型的使用者。產生此弱點的原因是，權限模型不足，無法透過 fs.watchFile API 限制檔案監控。因此，惡意執行者可以監控他們沒有明確讀取權限的檔案。此弱點會影響使用 Node.js 20 版中實驗性權限模型的所有使用者。請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。感謝 Colin Ihrig 報告此弱點，同時感謝 Rafael Gonzaga 修正此弱點。(CVE-2023-30582)

  - 在 Node.js 20 中使用具有 --allow-fs-read 旗標的檔案系統讀取限制時，fs.openAsBlob() 可繞過實驗性權限模型。產生此弱點的原因是 fs.openAsBlob() API 中缺少檢查。此弱點會影響使用 Node.js 20 版中實驗性權限模型的所有使用者。感謝 Colin Ihrig 報告此弱點，同時感謝 Rafael Gonzaga 修正此弱點。請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。(CVE-2023-30583)

  - 在 Node.js (.msi 版) 安裝處理程序中發現一個弱點，使用 .msi 安裝程式安裝 Node.js 的 Windows 使用者尤其會受到此弱點影響。此弱點產生於系統執行修復作業期間，此時在 NT AUTHORITY\SYSTEM 環境下執行的 msiexec.exe 處理程序會嘗試從目前使用者的登錄檔中讀取 %USERPROFILE% 環境變數。當 %USERPROFILE% 環境變數參照的路徑不存在時，就會出現此問題。在這種情況下，msiexec.exe 處理程序會嘗試以不安全的方式建立指定的路徑，進而可能導致在任意位置建立任意資料夾。由於標準 (或非特權) 使用者可修改 Windows 登錄檔中的 %USERPROFILE% 環境變數，因此此弱點的嚴重性有所增加。因此，無權限的執行者 (包括惡意實體或特洛伊木馬程式) 可操控環境變數金鑰，以誘騙擁有權限的 msiexec.exe 處理程序。此操控導致攻擊者可以在非預定且可能惡意的位置建立資料夾。請務必注意，此弱點只會影響使用 .msi 安裝程式安裝 Node.js 的 Windows 使用者。選擇其他安裝方法的使用者不受此特定問題影響。
    這會影響所有使用中的 Node.js 版本：v16、v18 和 v20。感謝 @sim0nsecurity 報告此弱點，同時感謝 Tobias Nieen 修正此弱點。(CVE-2023-30585)

  - 啟用實驗性權限模型時，Node.js 20 允許載入任意 OpenSSL 引擎，因而可繞過和/或停用權限模型。使用相容的 OpenSSL 引擎呼叫時，攻擊者可利用 crypto.setEngine() API 繞過權限模型。例如，OpenSSL 引擎可藉由操控處理程序的堆疊記憶體，在主機處理程序的堆積記憶體中找到權限模型 Permission: : enabled_，進而停用主機處理程序中的權限模型。此弱點會影響使用 Node.js 20 版中實驗性權限模型的所有使用者。請注意，在此 CVE 發布時，此權限模型為 Node.js 的實驗性功能。感謝 Tobias Nieen 報告並修正此弱點。(CVE-2023-30586)

  - 使用無效的公開金鑰建立使用 crypto.X509Certificate() API 的 x509 憑證時，會發生意外終止。如果攻擊者可強制中斷應用程式處理，則程式容易受到 DoS 攻擊，這是因為處理程序在從使用者程式碼存取所提供之憑證的公開金鑰資訊時會發生終止。使用者的目前內容會消失，進而造成 DoS 狀況。此弱點會影響所有有效的 Node.js v16、v18 和 v20 版本。感謝 Marc Schnefeld 報告此弱點，同時感謝 Tobias Nieen 修正此弱點。
    (CVE-2023-30588)

  - Node.js http 模組中的 llhttp 剖析器未嚴格使用 CRLF 序列來分隔 HTTP 要求。這可導致 HTTP 要求走私 (HRS)。CR 字元 (不含 LF) 足以分隔 llhttp 剖析器中的 HTTP 標頭欄位。根據 RFC7230 第 3 節，只有 CRLF 序列應該分隔每個標頭欄位。此弱點會影響所有使用中的 Node.js 版本：v16、v18 和 v20。感謝 Yadhu Krishna M (Team bi0s 和 CRED Security 團隊) 報告此弱點，並感謝 Paolo Insogna 修正此弱點。 (CVE-2023-30589)

  - 從 crypto.createDiffieHellman() 傳回的 generateKeys() API 函式只會產生缺失 (或過時) 的金鑰，也就是說，如果尚未設定任何金鑰，則只會產生私密金鑰。但是，說明文件指出此 API 呼叫：會產生私密和公開 Diffie-Hellman 金鑰值。記錄的行為與實際行為不同，因爲 DiffieHellman 可作為應用程式層級安全性的基礎，所以此差異很容易在使用這些 API 的應用程式中造成安全性問題。請注意，這是一項說明文件變更，此弱點已歸類為 CWE-1068 - 實作與設計記錄不一致。此變更適用於使用中的所有 Node.js 版本：v16、v18 和 v20。感謝 Ben Smyth 報告此弱點，同時感謝 Tobias Nieen 修正此弱點。(CVE-2023-30590)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Node.js 版本低于 16.20.1、18.16.1、20.3.1。因此，它受到 2023 年 6 月 20 日星期四安全版本公告中提及的多个漏洞影响。

  - 在 process.mainModule.proto.require() 中使用 proto 可绕过策略机制，并且需要 policy.json 定义之外的模块。此漏洞会影响在所有以下可用的稳定版本系列中使用实验性策略机制的所有用户：16.x、18.x 和 20.x。请注意，发布此 CVE 时，该策略是 Node.js 的一项实验性功能。感谢 Axel Chong 报告此漏洞，同时感谢 Rafael Gonzaga 修复此漏洞。(CVE-2023-30581)

  - 已在 Node.js 版本 20 中发现一个漏洞，尤其是在实验性权限模型中。此缺陷与在验证文件权限时未正确处理路径遍历绕过有关。
    此漏洞会影响使用 Node.js 20 中的实验性权限模型的所有用户。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。感谢 Axel Chong 报告此漏洞，同时感谢 Rafael Gonzaga 修复此漏洞。
    (CVE-2023-30584)

  - Node.js 版本 20 中存在一个漏洞，允许使用内置检查器模块 (node:inspector) 绕过由 --experimental-permission 标记设置的限制。通过利用工作线程类创建具有 kIsInternal Symbol 的内部工作线程的功能，如果在工作线程构造函数中附加了检查器，攻击者便可在初始化新的 WorkerImpl 之前修改 isInternal 值。
    此漏洞仅会影响在 Node.js 20 中使用权限模型机制的 Node.js 用户。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。感谢 mattaustin 报告此漏洞，同时感谢 Rafael Gonzaga 修复此漏洞。(CVE-2023-30587)

  - 已在 Node.js 版本 20 中发现一个漏洞，当 --allow-fs-read 标记与非 * 参数一起使用时，此漏洞会影响使用实验性权限模型的用户。出现此缺陷的原因是模型权限不充分，无法通过 fs.watchFile API 限制文件监视。如此一来，恶意执行者便可监控他们没有明确读取权限的文件。此漏洞会影响使用 Node.js 20 中的实验性权限模型的所有用户。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。感谢 Colin Ihrig 报告此漏洞，同时感谢 Rafael Gonzaga 修复此漏洞。(CVE-2023-30582)

  - 在 Node.js 20 中使用带 --allow-fs-read 标记的文件系统读取限制时，fs.openAsBlob() 可绕过实验性权限模型。出现此缺陷的原因是 fs.openAsBlob() API 中缺少检查。此漏洞会影响使用 Node.js 20 中的实验性权限模型的所有用户。感谢 Colin Ihrig 报告此漏洞，同时感谢 Rafael Gonzaga 修复此漏洞。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。(CVE-2023-30583)

  - 已发现 Node.js（.msi 版）安装进程中存在一个漏洞，此漏洞主要影响使用 .msi 安装程序安装 Node.js 的 Windows 用户。此漏洞会在执行修复操作期间出现，在此期间，在 NT AUTHORITY\SYSTEM 环境中运行的 msiexec.exe 进程会尝试从当前用户的注册表中读取 %USERPROFILE% 环境变量。当 %USERPROFILE% 环境变量引用的路径不存在时，此问题便会出现。在这种情况下，msiexec.exe 进程会尝试以不安全的方式创建指定路径，从而可能导致在任意位置创建任意文件夹。标准（或非特权）用户可以修改 Windows 注册表中的 %USERPROFILE% 环境变量，这会导致此漏洞更为严重。因此，包括恶意实体或特洛伊木马在内的非特权执行者可操纵环境变量密钥，以欺骗特权 msiexec.exe 进程。此操纵可导致在非预期位置和潜在恶意位置创建文件夹。请务必注意，只有使用 .msi 安装程序安装 Node.js 的 Windows 用户会遇到此漏洞。选择其他安装方法的用户不受此特定问题的影响。
    这会影响所有可用的 Node.js 版本：v16、v18 和 v20。感谢 @sim0nsecurity 报告此漏洞，同时感谢 Tobias Nieen 修复此漏洞。(CVE-2023-30585)

  - Node.js 20 允许在启用实验性权限模型时加载任意 OpenSSL 引擎，这样可以绕过和/或禁用权限模型。当通过兼容的 OpenSSL 引擎调用时，crypto.setEngine() API 可用于绕过权限模型。例如，OpenSSL 引擎可通过操纵该进程的堆栈内存来在主机进程的堆内存中定位 Permission: : enabled_，以此禁用主机进程中的权限模型。此漏洞会影响使用 Node.js 20 中的实验性权限模型的所有用户。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。感谢 Tobias Nieen 报告并修复此漏洞。(CVE-2023-30586)

  - 当使用无效的公钥借助 crypto.X509Certificate() API 创建 x509 证书时，会发生非预期终止，从而使其在攻击者可强制中断应用程序处理时容易受到 DoS 攻击，这是因为该进程会在访问通过用户代码所提供证书的公钥信息时终止。用户的当前环境将不复存在，这将导致 DoS 情况。此漏洞会影响所有可用的 Node.js 版本 v16、v18 和 v20。感谢 Marc Schnefeld 报告此漏洞，同时感谢 Tobias Nieen 修复此漏洞。
    (CVE-2023-30588)

  - Node.js 的 http 模块中的 llhttp 解析器未严格使用 CRLF 序列来分隔 HTTP 请求。这可导致 HTTP 请求走私 (HRS) 攻击。CR 字符（无 LF）完全可以在 llhttp 解析器中分隔 HTTP 标头字段。根据 RFC7230 第 3 部分，只应使用 CRLF 序列分隔每个标头字段。此漏洞会影响所有可用的 Node.js 版本：v16、v18 和 v20。感谢 Yadhu Krishna M（Team bi0s & CRED 安全团队）报告此漏洞，同时感谢 Paolo Insogna 修复此漏洞。(CVE-2023-30589)

  - crypto.createDiffieHellman() 返回的 generateKeys() API 函数仅生成缺失（或过时）的密钥，即此函数只会在尚未设置任何密钥时生成私钥。但是，文档中对此 API 调用的解释是：生成私有和公共 Diffie-Hellman 密钥值。记录的行为与实际行为不同，这种差异很容易导致使用这些 API 的应用程序中出现安全问题，这是因为 DiffieHellman 可能会被用作应用程序级安全措施的基础。请注意，这是文档变更，已将此漏洞归类为 CWE-1068 - 实现与文档化设计不符。此变更适用于所有可用的 Node.js 版本：v16、v18 和 v20。感谢 Ben Smyth 报告此漏洞，同时感谢 Tobias Nieen 修复此漏洞。(CVE-2023-30590)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 Siemens SINEC NMS 版本比 2.0.1.0 舊。因此，它受到 SSA-943925 公告中提及的多個弱點影響。

  - 3.3.4 及之前的 coreruleset (即 OWASP ModSecurity Core Rule Set) 在某些平台上未偵測到多個 Content-Type 要求標頭。攻擊者可能藉此使用特製的承載繞過 WAF，即 WAF 和後端應用程式之間的 Content-Type 混淆。若 Web 應用程式僅依賴最後一個 Content-Type 標頭，則會發生此情況。其他平台可能會拒絕其他 Content-Type 標頭或合併衝突的標頭，進而導致偵測格式錯誤的標頭。
    (CVE-2023-38199)

  - Apache HTTP Server 2.4.0 至 2.4.55 版上的某些 mod_proxy 組態允許 HTTP 要求走私攻擊。當 mod_proxy 與某種形式的 RewriteRule 或 ProxyPassMatch 一起啟用時，組態會受到影響，其中非特定模式符合使用者提供的要求目標 (URL) 資料的某些部分，然後使用變量替換重新插入代理請求目標。示例如下：RewriteRule ^/here/(.*) http://example.com:8080/elsewhere?$1; 上的 RewriteEngine；[P] ProxyPassReverse /here/ http://example.com:8080/ 要求分割/走私可導致繞過 Proxy 伺服器中的存取控制、將非預定 URL 代理至現有的原始伺服器，以及快取毒害。建議使用者至少更新至 Apache HTTP Server 的 2.4.56 版。(CVE-2023-25690)

  - 使用「Module._load()」可繞過原則機制，並針對特定模組要求 policy.json 定義之外的模組。此弱點會影響在下列所有有效版本系列中使用實驗性原則機制的所有使用者：16.x、18.x 和 20.x。請注意，在此 CVE 發布時，此原則為 Node.js 的實驗性功能。(CVE-2023-32002)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 Siemens SINEC NMS 版本低于 2.0.1.0。因此，如公告 SSA-943925 所述，其会受到多个漏洞影响。

  - coreruleset（又称为 OWASP ModSecurity 核心规则集） 3.3.4 及之前版本在某些平台上不检测多种 Content-Type 请求标头。这可能会允许攻击者通过构建的负载绕过 WAF，即 WAF 和后端应用程序之间出现 Content-Type 混淆。仅当 Web 应用程序依赖最后一个 Content-Type 标头时，才会发生这种情况。其他平台可能会拒绝其他 Content-Type 标头或合并存在冲突的标头，从而导致检测结果为畸形标头。
    (CVE-2023-38199)

  Apache HTTP Server 2.4.0 至 2.4.55 版中的某些 mod_proxy 配置可造成 HTTP 请求走私攻击。当 mod_proxy 与某种形式的 RewriteRule 或 ProxyPassMatch 一起启用时，配置会受到影响，其中非特定模式会匹配用户提供的请求目标 (URL) 数据的某个部分，然后使用变量替换重新插入代理请求目标。例如，RewriteRule ^/here/(.*) http://example.com:8080/elsewhere?$1; 上的 RewriteEngine；[P] ProxyPassReverse /here/ http://example.com:8080/ 请求拆分/走私可导致绕过代理服务器中的访问控制、将非预期的 URL 代理到现有源服务器以及缓存中毒。建议用户至少更新到 Apache HTTP Server 的 2.4.56 版。(CVE-2023-25690)

  - 使用“Module._load()”可绕过策略机制，并且需要给定模块的 policy.json 定义之外的模块。此漏洞会影响在所有以下可用的稳定版本系列中使用实验性策略机制的所有用户：16.x、18.x 和 20.x。请注意，发布此 CVE 时，该策略是 Node.js 的一项实验性功能。(CVE-2023-32002)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
195166	GLSA-202405-29 : Node.js: Multiple Vulnerabilities	Nessus	Gentoo Local Security Checks	5/8/2024	5/8/2024	critical
177518	Node.js 16.x < 16.20.1 / 18.x < 18.16.1 / 20.x < 20.3.1 の複数の脆弱性 (2023 年 6 月 20 日火曜日のセキュリティリリース)。	Nessus	Misc.	6/22/2023	1/9/2024	high
191429	Siemens SINEC NMS < V2.0 SP1 の複数の脆弱性	Nessus	Windows	2/29/2024	3/1/2024	critical
191429	Siemens SINEC NMS < V2.0 SP1 Multiple Vulnerabilities	Nessus	Windows	2/29/2024	3/1/2024	critical
177518	Node.js 16.x < 16.20.1 / 18.x < 18.16.1 / 20.x < 20.3.1 Multiple Vulnerabilities (Tuesday June 20 2023 Security Releases).	Nessus	Misc.	6/22/2023	1/9/2024	high
177518	Node.js 16.x < 16.20.1 / 18.x < 18.16.1 / 20.x < 20.3.1 多個弱點 (2023 年 6 月 20 日星期二安全性版本)。	Nessus	Misc.	6/22/2023	1/9/2024	high
177518	Node.js 16.x < 16.20.1 / 18.x < 18.16.1 / 20.x < 20.3.1 多个漏洞（2023 年 6 月 20 日星期四安全版本）。	Nessus	Misc.	6/22/2023	1/9/2024	high
195166	GLSA-202405-29：Node.js：多個弱點	Nessus	Gentoo Local Security Checks	5/8/2024	5/8/2024	critical
191429	Siemens SINEC NMS < V2.0 SP1 多個弱點	Nessus	Windows	2/29/2024	3/1/2024	critical
195166	GLSA-202405-29：Node.js：多个漏洞	Nessus	Gentoo Local Security Checks	5/8/2024	5/8/2024	critical
191429	Siemens SINEC NMS 2.0 以下版本的 SP1 存在多个漏洞	Nessus	Windows	2/29/2024	3/1/2024	critical

Detections

Analytics

Plugins Search

critical

high

critical

critical

high

high

high

critical

critical

critical

critical