リモートの Fedora 39 ホストには、FEDORA-2024-28fc0c2ef4 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 正規表現のサービス拒否 (ReDoS) の欠陥が、interpolateName.js の resourcePath 変数を介して、webpack loader-utils 2.0.0 の interpolateName.js の Function interpolateName で見つかりました。
    (CVE-2022-37599)

  - 4.1.3 以前のパッケージ tough-cookie のバージョンは、rejectPublicSuffixes=false モードで CookieJar を使用する際にクッキーが不適切に処理されるため、プロトタイプ汚染に対して脆弱です。この問題は、オブジェクトが初期化される方法から発生します。(CVE-2023-26136)

  - browserify-sign は、ノードの暗号公開鍵関数の機能を複製するためのパッケージで、その多くは indutny/tls.js での Fedor Indutny 氏の作業に基づいています。[dsaVerify] 関数における上限チェックの問題により、攻撃者は、任意の公開鍵で正常に検証できる署名を構築でき、署名偽造攻撃を引き起こす可能性があります。ユーザー入力署名の DSA 検証を含む、このプロジェクトのすべての場所が、この脆弱性の影響を受けます。この問題には、バージョン 4.2.2でパッチが適用されています。(CVE-2023-46234)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Fedora 39 : yarnpkg (2024-28fc0c2ef4)

critical Nessus プラグイン ID 191080

バージョン 1.0