リモートホストにインストールされている Node.js のバージョンは、20.20.0、22.22.0、24.13.0、25.3.0、25.3.0 より前のものです。したがって、2026年1月13日火曜日セキュリティリリースアドバイザリに記載されているとおり、複数の脆弱性の影響を受けます。

  - サイズが大きすぎる無効な HPACK データのある無効な形式の HTTP/2 HEADERS フレームにより、処理されていない TLSSocket エラー ECONNRESET を発生させることで、Node.js がクラッシュする可能性があります。接続を安全に閉じる代わりに、プロセスがクラッシュし、リモートのサービス拒否が引き起こされる可能性があります。これは主に、セキュアなソケットに明示的なエラーハンドラーを取り付けないアプリケーションに影響を与えます。例server.on('secureConnection', socket => {socket.on('error', err => { console.log(err); }) ); }; JavaScriptCopy からクリップボードへ。影響CVE-2025-59465

  - Node.js のバッファ割り当てロジックの欠陥により、タイムアウトオプションで vm モジュールを使用する際、割り当てが中断されたときに初期化されていないメモリが漏洩する可能性があります。特定のタイミング条件下で、Buffer.alloc および Uint8Array などの他の TypedArray インスタンスに割り当てられたバッファには、以前の操作からの残っているデータが含まれることがあります。これにより、トークンやパスワードなどのプロセス中の機密情報が漏洩したり、データが破損したりすることができます。通常、悪用には正確なタイミングまたはプロセス内のコード実行が必要ですが、信頼できない入力がワークロードとタイムアウトに影響を与え、機密性および整合性に影響を与える時はリモートで悪用可能になり、潜在的な機密性および整合性に影響を与える可能性があります。影響この脆弱性を報告および修正してくれたNikita Skovoroda氏に感謝の意を表します。CVE-2025-55131

  - Node.js の Permissions モデルの欠陥により、攻撃者が細工された相対シンボリックリンクパスを使用して、 --allow-fs-read および --allow-fs-write の制限をバイパスする可能性があります。ディレクトリとシンボリックリンクの連鎖により、現在のディレクトリへのみアクセスが許可されたスクリプトが、許可されたパスをエスケープし、機密ファイルを読み取る可能性があります。これにより、期待される分離保証が破られ、任意のファイル読み書きが可能になり、システムの危険性が生じる可能性があります。影響 この脆弱性を報告してくれたnatannに、修正してくれたRafaelGSSに感謝の意を表します。CVE-2025-55130

  - Node.js のエラー処理で、async_hooks.createHook() が有効な場合に、最大呼び出しスタックサイズ超過エラーがキャッチできなくなるバグを特定しました。process.on('uncaughtException') に到達する代わりに、プロセスが終了し、クラッシュが回復不能になります。AsyncLocalStoragev22、v20または async_hooks.createHook()v24、v22、v20に依存するアプリケーションは、特定の条件下で深い再帰によってトリガーされるサービス拒否クラッシュに脆弱になります。影響: この脆弱性を報告してくれた & aaron_vercel を特定してくれた Andrew MacPherson 氏AndrewMohawkに感謝の意を表します。また、これを修正してくれた mcollina 氏に感謝の意を表します。
    (CVE-2025-59466)

  - 割り当てられたバッファを解放せずに X.509 証明書フィールドを UTF-8 に変換する際、Node.js の OpenSSL 統合でメモリリークが発生します。アプリケーションが socket.getPeerCertificate(true) を呼び出す際、各証明書フィールドでメモリが漏洩するため、リモートクライアントが、繰り返しの TLS 接続を通じて安定したメモリ増加を発生させることが可能です。時間の経過とともに、これはリソース枯渇とサービス拒否につながる可能性があります。影響: この脆弱性を報告してくれたgit_anteaterと、これを修正してくれたRafaelGSSに感謝の意を表します。CVE-2025-59464

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Node.js 20.x < 20.20.0 / 22.x < 22.22.0 / 24.x < 24.13.0 / 25.x < 25.3.0 / 25.x < 25.3.0 複数の脆弱性2026 年 1 月 13 日火曜日セキュリティリリース。

high Nessus プラグイン ID 282656

バージョン 1.1