Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Expr は Go 用の表現言語であり、表現評価です。バージョン 1.17.0 より前では、Expr 式パーサーに制限されない入力文字列が与えられた場合、文字列全体をコンパイルしようとし、式の各部分に対して Abstract Syntax Tree (AST) ノードを生成しようとします。入力サイズが制限されていないシナリオでは、悪質な、または不注意による非常に大きな式によって、パーサーが巨大な AST を構築するときにメモリを過剰に消費する可能性があります。これは、最終的に過剰なメモリ使用とプロセスのメモリ不足 (OOM) クラッシュにつながる可能性があります。この問題は比較的一般的ではなく、入力サイズに制限がない、つまり式の長さが任意に大きくなる場合にのみ発生します。入力がバインドまたは検証される一般的なユースケースでは、この問題は発生しません。この問題は Expr ライブラリの最新バージョンでパッチされています。この修正により、AST ノードの数と解析中のメモリ使用率にコンパイル時間の制限が導入され、1 つの式によるリソースの枯渇が防ぐことができます。ユーザーは Expr バージョン 1.17.0 以降にアップグレードする必要があります。このリリースには新しいノードバジェットとメモリ制限のセーフガードが含まれているためです。v1.17.0 へアップグレードすることで、非常に深い式または大きな式が検出され、コンパイル中に安全に中止され、OOM 状態が回避されるようになります。すぐにアップグレードできないユーザーに対しては、解析する前に入力サイズ制限を適用することが推奨される回避策です。実際には、これはアプリケーションが受け入れる式文字列の長さを検証したり制限したりすることを意味します。たとえば、式に対して最大文字数 (またはノード) の許容数を設定し、この制限を超える入力を拒否または切り捨てます。長さ無制限の式がパーサーに決して渡されないようにすることで、パーサーが異常に大きい AST を構築することを防止し、潜在的なメモリ枯渇を回避できます。つまり、パッチのないときのセーフガードとして入力サイズを事前検証して上限に設定します。
    (CVE-2025-29786)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-29786

high Nessus プラグイン ID 251971

バージョン 1.9