Node.js 18.x < 18.20.4 / 20.x < 20.15.1 / 22.x < 22.4.1 多个漏洞（2024 年 7 月 8 日星期一安全版本）。
critical Nessus 插件 ID 201969
语言：
简介
Node.js - JavaScript 运行环境受到多个漏洞的影响。描述
远程主机上安装的 Node.js 版本低于 18.20.4、20.15.1、22.4.1。因此，该应用程序受到 2024 年 7 月 8 日星期一安全版本公告中提及的多个漏洞的影响。- CVE-2024-27980 被识别为对 BatBadBut 漏洞的不完整补丁。此漏洞是因为未正确通过 child_process.spawn / child_process.spawnSync 在 Windows 上处理具有所有可能扩展的批处理文件所导致。恶意命令行参数可注入任意命令，即使 shell 选项未启用也可实现代码执行。此漏洞会影响在所有可用的稳定版本系列中使用 child_process.spawn 和 child_process.spawnSync 的所有 Windows 用户。
影响：感谢 tianst 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。
(CVE-2024-27980)
- Node.js 中的安全缺陷允许绕过网络导入限制。通过在数据 URL 中嵌入非网络导入，攻击者可执行任意代码，危害系统安全。可通过禁止网络导入中的数据 URL 来缓解此漏洞，这一点已在多个平台上得到验证。攻击者可利用此缺陷破坏网络导入安全，对开发人员和服务器造成风险。影响：感谢 dittyroma 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。(CVE-2024-22020)
- 已在 Node.js 中发现一个漏洞，使用 --allow-fs-write 标记时，此漏洞会影响使用实验性权限模型的用户。Node.js 权限模型不会文件描述符进行任何操作，但是，fs.fchown 或 fs.fchmod 等操作可使用只读文件描述符，从而更改文件的所有者和权限。此漏洞会影响使用 Node.js 20 和 Node.js 22 中的实验性权限模型的所有用户。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。影响：感谢 4xpl0r3r 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。(CVE-2024-36137)
- 已在 Node.js 中发现一个漏洞，使用 --allow-fs-read 标记时，此漏洞会影响使用实验性权限模型的用户。出现此缺陷的原因是模型权限不充分，无法通过 fs.lstat API 限制文件统计数据。如此一来，恶意行为者可以从他们没有显式读取访问权限的文件中检索统计信息。此漏洞会影响使用 Node.js 20 和 Node.js 22 中的实验性权限模型的所有用户。请注意，发布此 CVE 时，该权限模块是 Node.js 的一项实验性功能。影响：感谢 haxatron1 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。(CVE-2024-22018)
- 权限模型假设任何以两个反斜线 ("\") 开头的路径都具有可忽略的四字符前缀，但情况并非总是如此。此缺陷会导致易受攻击的边缘情况。此漏洞会影响使用 v22.x 和 v20.x 版本中 Node.js 权限模型的 Windows 用户。影响：
感谢 tniessen 报告此漏洞，同时感谢 RafaelGSS 修复此漏洞。
(CVE-2024-37372)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级到 Node.js 18.20.4 / 20.15.1 / 22.4.1 或更高版本。另见
https://nodejs.org/en/blog/vulnerability/july-2024-security-releases/
插件详情
严重性: Critical
ID: 201969
文件名: nodejs_2024_jul_08.nasl
版本: 1.3
类型: local
代理: windows, macosx, unix
系列: Misc.
发布时间: 2024/7/8
最近更新时间: 2024/7/12
配置: 启用全面检查
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.3
CVSS v2
风险因素: High
基本分数: 9
时间分数: 6.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:C
CVSS 分数来源: CVE-2024-22020
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS 分数来源: CVE-2024-27980
漏洞信息
CPE: cpe:/a:nodejs:node.js
必需的 KB 项: installed_sw/Node.js
易利用性: No known exploits are available
补丁发布日期: 2024/7/8
漏洞发布日期: 2024/4/10
参考资料信息
CVE: CVE-2024-22018, CVE-2024-22020, CVE-2024-27980, CVE-2024-36137, CVE-2024-37372
IAVB: 2024-B-0039-S, 2024-B-0083