The remote Redhat Enterprise Linux 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2024:2910 advisory.

    Node.js is a software development platform for building fast and scalable network applications in the     JavaScript programming language.

    Security Fix(es):

    * nodejs: CONTINUATION frames DoS (CVE-2024-27983)

    * nodejs: using the fetch() function to retrieve content from an untrusted URL leads to denial of service     (CVE-2024-22025)

    * nodejs: HTTP Request Smuggling via Content Length Obfuscation (CVE-2024-27982)

    * nghttp2: CONTINUATION frames DoS (CVE-2024-28182)

    * c-ares: Out of bounds read in ares__read_line() (CVE-2024-25629)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2024:2937 advisory.

    Node.js is a software development platform for building fast and scalable     network applications in the JavaScript programming language.

    Security Fix(es):

    * nodejs: nghttp2: CONTINUATION frames DoS (CVE-2024-28182)

    * nodejs: CONTINUATION frames DoS (CVE-2024-27983)

    For more details about the security issue(s), including the impact, a CVSS     score, acknowledgments, and other related information, refer to the CVE page(s)     listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2024:3545 advisory.

    Node.js is a software development platform for building fast and scalable     network applications in the JavaScript programming language.

    Security Fix(es):

    * nodejs: HTTP Request Smuggling via Content Length Obfuscation (CVE-2024-27982)

    * nodejs: CONTINUATION frames DoS (CVE-2024-27983)

    For more details about the security issue(s), including the impact, a CVSS     score, acknowledgments, and other related information, refer to the CVE page(s)     listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2024:3544 advisory.

    Node.js is a software development platform for building fast and scalable     network applications in the JavaScript programming language.

    Security Fix(es):

    *nodejs: CONTINUATION frames DoS (CVE-2024-27983)
    *nodejs: nghttp2: CONTINUATION frames DoS (CVE-2024-28182)

    For more details about the security issue(s), including the impact, a CVSS     score, acknowledgments, and other related information, refer to the CVE page(s) listed in the References     section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2024:4824 advisory.

    Node.js is a software development platform for building fast and scalable network applications in the     JavaScript programming language.

    Security Fix(es):

    * nghttp2: CONTINUATION frames DoS (CVE-2024-28182,VU#421644.5)

    * nodejs: CONTINUATION frames DoS (CVE-2024-27983)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

因此，會受到 ALAS2023-2024-593 公告中所提及的多個弱點影響。

  - 攻擊者可傳送少量內含少量 HTTP/2 框架的 HTTP/2 框架封包，進而使 Node.js HTTP/2 伺服器完全無法使用。若採用 HTTP/2 CONTINUATION 框架的標頭被傳送至伺服器，即使被重設，nghttp2 記憶體中仍可能留下一些資料；若 TCP 連結被觸發 Http2Session 解構函式的用戶端突然關閉並且標頭框架仍在處理中 (儲存在記憶體中)，則可能導致爭用情形。(CVE-2024-27983)

  - nghttp2 是根據超文字傳輸通訊協定第 2 版、以 C 語言編寫的庫。1.61.0 版之前的 nghttp2 庫會不斷讀取無限數量的 HTTP/2 CONTINUATION 框架，即使為了保持 HPACK 內容同步以重設資料流後也是如此。這會造成解碼 HPACK 資料流時的 CPU 使用率過高。nghttp2 v1.61.0 透過限制接受的每個資料流的 CONTINUATION 框架數來減輕此弱點。
    目前沒有因應措施可解決此弱點。(CVE-2024-28182)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Rocky Linux 8 主機已安裝受到多個弱點影響的套件如 RLSA-2024:2778 公告中所提及。

  - 在 Node.js 中發現一個弱點，當使用 fetch() 函式從不受信任的網址擷取內容時，攻擊者可藉此弱點透過資源耗盡發動拒絕服務 (DoS) 攻擊。引致此弱點的原因是 Node.js 中的 fetch() 函式一律對 Brotli 進行解碼，使得攻擊者可以在從不受信任的網址擷取內容時造成資源耗盡。控制傳遞至 fetch() 之網址的攻擊者可惡意利用此弱點來耗盡記憶體，從而可能導致處理程序終止，但具體要視乎系統設定而定。(CVE-2024-22025)

  - c-ares 是適用於非同步 DNS 要求的 C 程式庫。`ares__read_line()` 用於剖析本機設定檔，例如 `/etc/resolv.conf`、`/etc/nsswitch.conf`、`HOSTALIASES` 檔案，如果使用 1.27.0 之前版本的 c-ares，則剖析的是 `/etc/hosts` 檔案。如果其中任何一個設定檔將內嵌的 `NULL` 字元做為新行的第一個字元，可導致嘗試在指定緩衝區開始之前讀取記憶體，進而可能導致當機。此問題已在 c-ares 1.27.0 中修復。
    目前尚無已知的因應措施。(CVE-2024-25629)

  - 團隊在最新版 Node 的 http 伺服器中發現一個重大弱點，格式錯誤的標頭可導致 HTTP 要求走私。具體而言，如果在 content-length 標頭前放置一個空格，系統則無法正確解譯該空格，進而讓攻擊者能夠在第一個要求的內文中走私第二個要求。(CVE-2024-27982)

  - 攻擊者可傳送少量內含少量 HTTP/2 框架的 HTTP/2 框架封包，從而使 Node.js HTTP/2 伺服器完全無法使用。若採用 HTTP/2 CONTINUATION 框架的標頭被傳送至伺服器，即使被重設，nghttp2 記憶體中仍可能留下一些資料；若 TCP 連結被觸發 Http2Session 解構函式的用戶端突然關閉並且標頭框架仍在處理中 (儲存在記憶體中)，則可能導致爭用情形。(CVE-2024-27983)

  - nghttp2 是根據超文字傳輸通訊協定第 2 版、以 C 語言編寫的庫。1.61.0 版之前的 nghttp2 庫會不斷讀取無限數量的 HTTP/2 CONTINUATION 框架，即使為了保持 HPACK 內容同步以重設資料流後也是如此。這會造成解碼 HPACK 資料流時的 CPU 使用率過高。nghttp2 v1.61.0 透過限制接受的每個資料流的 CONTINUATION 框架數來減輕此弱點。
    目前沒有因應措施可解決此弱點。(CVE-2024-28182)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2024:2853 公告中提及的多個弱點影響。

    Node.js 是一個軟體開發平台，可使用 JavaScript 程式設計語言建置快速且可擴充的網路應用程式。

    安全性修正：

    * c-ares：ares__read_line() 中的超出邊界讀取弱點 (CVE-2024-25629)

    * nghttp2：CONTINUATION 框架 DoS (CVE-2024-28182)

    * nodejs：使用 fetch() 函式從未受信任的 URL 擷取內容會導致拒絕服務 (CVE-2024-22025)

    * nodejs：CONTINUATION 框架 DoS (CVE-2024-27983)

    * nodejs：透過內容長度混淆造成 HTTP 要求走私 (CVE-2024-27982)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2024:2910 公告中提及的多個弱點影響。

  - nodejs：使用 fetch() 函式從未受信任的 URL 擷取內容會導致拒絕服務 (CVE-2024-22025)

  - c-ares：ares__read_line() 中發生超出邊界讀取 (CVE-2024-25629)

  - nodejs：透過內容長度混淆造成 HTTP 要求走私 (CVE-2024-27982)

  - nodejs：CONTINUATION 框架 DoS (CVE-2024-27983)

  - nghttp2：CONTINUATION 框架 DoS (CVE-2024-28182)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2024:2937 公告中提及的多個弱點影響。

  - nodejs：CONTINUATION 框架 DoS (CVE-2024-27983)

  - nghttp2：CONTINUATION 框架 DoS (CVE-2024-28182)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2024:3545 公告中提及的多個弱點影響。

    Node.js 是一個軟體開發平台，可使用 JavaScript 程式設計語言建置快速且可擴充的網路應用程式。

    安全性修正：

    * nodejs：透過內容長度混淆造成 HTTP 要求走私 (CVE-2024-27982)

    * nodejs：CONTINUATION 框架 DoS (CVE-2024-27983)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2024:3544 公告中提及的多個弱點影響。

    Node.js 是一個軟體開發平台，可使用 JavaScript 程式設計語言建置快速且可擴充的網路應用程式。

    安全性修正：

    *nodejs：CONTINUATION 框架 DoS (CVE-2024-27983)
    *nodejs：nghttp2：CONTINUATION 框架 DoS (CVE-2024-28182)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的多個套件受到 RHSA-2024:4824 公告中提及的多個弱點影響。

    Node.js 是一個軟體開發平台，可使用 JavaScript 程式設計語言建置快速且可擴充的網路應用程式。

    安全性修正：

    * nghttp2：CONTINUATION 框架 DoS (CVE-2024-28182,VU#421644.5)

    * nodejs：CONTINUATION 框架 DoS (CVE-2024-27983)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	Name	Product	Family	Published	Updated	Severity
197505	RHEL 9 : nodejs (RHSA-2024:2910)	Nessus	Red Hat Local Security Checks	5/20/2024	2/6/2025	medium
197566	RHEL 9 : nodejs (RHSA-2024:2937)	Nessus	Red Hat Local Security Checks	5/21/2024	11/7/2024	high
200062	RHEL 9 : nodejs (RHSA-2024:3545)	Nessus	Red Hat Local Security Checks	6/3/2024	11/7/2024	high
200069	RHEL 9 : nodejs:18 (RHSA-2024:3544)	Nessus	Red Hat Local Security Checks	6/3/2024	11/7/2024	high
204593	RHEL 8 : nodejs:18 (RHSA-2024:4824)	Nessus	Red Hat Local Security Checks	7/24/2024	11/7/2024	high
194484	Amazon Linux 2023：nodejs、nodejs-devel、nodejs-full-i18n (ALAS2023-2024-593)	Nessus	Amazon Linux Local Security Checks	4/29/2024	12/11/2024	high
195230	Rocky Linux 8nodejs:20 (RLSA-2024:2778)	Nessus	Rocky Linux Local Security Checks	5/9/2024	2/6/2025	medium
197085	RHEL 9：nodejs:20 (RHSA-2024:2853)	Nessus	Red Hat Local Security Checks	5/15/2024	4/30/2025	medium
197505	RHEL 9 : nodejs (RHSA-2024:2910)	Nessus	Red Hat Local Security Checks	5/20/2024	2/6/2025	medium
197566	RHEL 9：nodejs (RHSA-2024:2937)	Nessus	Red Hat Local Security Checks	5/21/2024	11/7/2024	high
200062	RHEL 9：nodejs (RHSA-2024:3545)	Nessus	Red Hat Local Security Checks	6/3/2024	11/7/2024	high
200069	RHEL 9 : nodejs:18 (RHSA-2024:3544)	Nessus	Red Hat Local Security Checks	6/3/2024	11/7/2024	high
204593	RHEL 8 : nodejs:18 (RHSA-2024:4824)	Nessus	Red Hat Local Security Checks	7/24/2024	11/7/2024	high

Detections

Analytics

Plugins Search

medium

high

high

high

high

high

medium

medium

medium

high

high

high

high