远程主机上安装的 Node.js 版本低于 14.20.1、16.17.1、18.9.1。因此，它受到 2022 年 9 月 23 日安全版本公告中提及的多个漏洞的影响。

  - 针对 CVE-2022-32212 的补丁涵盖了可路由 IP 地址的情况，但在处理 http://0.0.0.0 URL 时，macOS 设备上存在的特定行为允许受攻击者控制的 DNS 服务器通过解析 .local 域中的主机来绕过 DNS 重新绑定保护。受攻击者控制的 DNS 服务器可将 <Computer Name>.local 解析为任意 IP 地址，从而造成受害者的浏览器在 http://0.0.0.0 加载任意内容。攻击者可借此绕过 DNS 重新绑定保护。感谢 Zeyu Zhang (@zeyu2001) 报告此漏洞，同时感谢 Rafael Gonzaga 修复此漏洞。影响：(CVE-2022-32212)

  - 由于对 CVE-2022-32215 的修复不完整，Node.js v16.16.0 和 18.7.0 中 http 模块的 llhttp 解析器无法正确处理多行 Transfer-Encoding 标头，这可导致 HTTP 请求走私 (HRS) 攻击。感谢 JFrog CSO 团队的 Liav Gutman 报告此漏洞，并感谢 Paolo Insogna 修复此漏洞。影响：(CVE-2022-32215)

  - 使用 Node.js HTTP 解析器支持的 obs-fold 可绕过针对 CVE-2022-32213 的补丁。如果将 Node.js HTTP 模块用作代理服务器，则它会在折叠标头时错误地将 transfer-encoding 标头解析为表示分块请求，并因此将并非有效 Transfer-Encoding 标头的 Transfer-Encoding: chunked abc 转发到下游服务器。因此，如 CVE-2022-32213 所示，这可能导致 HTTP 请求走私攻击。感谢 Haxatron 报告此漏洞。
    影响：(CVE-2022-32213)

  - Node.js v18.7.0 中 http 模块的 llhttp 解析器未正确处理非以 CLRF 结尾的标头字段，这可能会导致 HTTP 请求走私攻击。感谢 VVX7 报告此漏洞。影响：(CVE-2022-35256)

  - 在 MacOS 系统上启动 Node.js 18 和更高版本时，进程会尝试读取通常不存在的 /home/iojs/build/ws/out/Release/obj.target/deps/openssl/openssl.cnf。攻击者可以通过自行选择的用户名 (iojs) 访问共享的 MacOS 主机，进而影响其他用户的 OpenSSF 配置。感谢 Michael Dawson 报告（并修复）此漏洞。影响：(CVE-2022-32222)

  - Node.js 会调用 src/crypto/crypto_keygen.cc 中 SecureKeyGenTraits: : DoKeyGen() 的 EntropySource()，
    但是不检查返回值，而是假设 EntropySource() 始终成功，但实际上它可能（有时）会失败。感谢 Ben Noordhuis 报告（并修复）此漏洞。影响：
    (CVE-2022-35255)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Node.js 14.x < 14.20.1 / 16.x < 16.17.1 / 18.x < 18.9.1 多个漏洞（2022 年 9 月 23 日安全版本）

critical Nessus 插件 ID 165633

版本 1.3