リモートホストにインストールされている Node.js のバージョンは、20.19.4、22.17.1、24.4.1より前のものです。したがって、2025 年 7 月 15 日火曜日のセキュリティリリースのアドバイザリに記載されている複数の脆弱性の影響を受けます。

  - Node.js v24.0.0 で使用されている V8 リリースでは、rapidhash を使用して文字列ハッシュを計算する方法が変更されました。この実装により、文字列のハッシュ化をコントロールできる攻撃者は、多数のハッシュ衝突を引き起こす可能性があるため、HashDoS の脆弱性が再び導入されます。攻撃者は、ハッシュシードを知らなくても、衝突を引き起こすことができます。V8 チームはこの問題をセキュリティ脆弱性として分類していませんが、Node.js プロジェクトは、実際のシナリオでの潜在的な影響があるため、脆弱性として扱っています。影響: この脆弱性を報告してくださった sharp_edged 氏と、修正してくださった targos 氏に感謝の意を表します。(CVE-2025-27209)

  - Node.js の CVE-2025-23084 に対する修正が不完全であることが判明しました。これは特に、CON、PRN、AUX などの Windows デバイス名に影響を与えます。この脆弱性は、path.join API の Windows ユーザーに影響を与えます。この脆弱性を報告してくれた oblivionsage 氏に、および修正してくれた RafaelGSS 氏に感謝の意を表します。
    (CVE-2025-27210)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Node.js 20.x < 20.19.4/22.x < 22.17.1/24.x < 24.4.1 の複数の脆弱性 (2025 年 7 月 15 日火曜日のセキュリティリリース)。

high Nessus プラグイン ID 242134

バージョン 1.5