Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Next.js は、フルスタックウェブアプリケーションを構築するための React フレームワークです。バージョン 13.0.0 から開始し、 13.5.8、 14.2.21、および 15.1.2より前のバージョンでは、Next.js はサービス拒否（DoS）攻撃に対して脆弱です。これにより、攻撃者は、ホスティングプロバイダーまでサーバーアクションへのリクエストをハングアップさせたままにするリクエストを構築することができます。は関数の実行をキャンセルします。この脆弱性は、応答時間による課金を行うプロバイダーに展開された場合、ウォレット拒否（DoW）攻撃に悪用される可能性があります。(注意: この間、Next.js サーバーはアイドル状態になり、接続のみを開いたままにします。この間、CPU とメモリのフットプリントは少なくなります）。
    長時間実行されるサーバーアクションの呼び出しに対する保護のないデプロイメントは、特に脆弱です。Vercel や Netlify などのホスティングプロバイダーは、過剰な請求のリスクを軽減するために、関数実行時にデフォルトの最大期間を設定しています。これは、着信 HTTP リクエストに無効な「Content-Length」ヘッダーがあるか、 が決してクローズしない場合と同じ問題です。ホストにそれらに対する他の緩和策がない場合、この脆弱性は新規です。この脆弱性の影響を受けるのは、サーバーアクションを使用するNext.jsのデプロイメントのみです。この問題は、Next.js 13.5.8、 14.2.21、および 15.1.2で解決されました。ユーザーは安全なバージョンにアップグレードすることを推奨します。公式の回避策はありません。 （CVE-2024-56332）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2024-56332

medium Nessus プラグイン ID 230331

バージョン 1.4