Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - KaTeX は、Web 上で TeX の数値計算をレンダリングするための JavaScript ライブラリです。信頼できない数式をレンダリングする KaTeX ユーザーが、「\def」または「\newcommand」を使用する悪意のある入力に遭遇する可能性があります。これにより、ループを回避するために「maxExpand」を設定しているにもかかわらず、ほぼ無限ループが引き起こされます。KaTeX は、無限再帰マクロが利用可能なすべてのメモリを消費したり、スタックオーバーフローエラーを発生させたりすることを防ぐことを目的とした、maxExpand という名前のオプションをサポートしています。残念ながら、Unicode (sub|super) スクリプト文字のサポートにより、攻撃者はこの制限をバイパスできます。各下付き文字/上付き文字グループは、親から現在のマクロ実行カウントを継承することなく、マクロ実行に独自の制限を持つ個別のパーサーをインスタンス化していました。これは KaTeX v0.16.10 で修正されています。 （CVE-2024-28244）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2024-28244

medium Nessus プラグイン ID 227820

バージョン 1.4