Fedora 36 : yarnpkg (2023-18fd476362)

critical Nessus プラグイン ID 170235

Language:

概要

リモートの Fedora ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモートの Fedora 36 ホストには、FEDORA-2023-18fd476362 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

- 2.6.4 および 3.2.2 より前の 3.x の Async では、悪意のあるユーザーが mapValues() メソッド、別名 lib/internal/iterator.js createObjectIterator プロトタイプ汚染を介して権限を取得する可能性があります。(CVE-2021-43138)

- これは、3.3.1 より前の thenify パッケージに影響します。パッケージに入力される name 引数は、サニタイズなしでもユーザーによる制御が可能で、サニタイズされることなく eval 関数に入力されます。
(CVE-2020-7677)

- minimatch パッケージに脆弱性が見つかりました。この欠陥により、特定の引数で braceExpand 関数を呼び出す際に、正規表現によるサービス拒否 (ReDoS) が発生し、サービス拒否が発生する可能性があります。(CVE-2022-3517)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。